Горячий и холодный кошелёк в обменнике — это не технический вопрос, а вопрос выживания бизнеса. Большинство новых операторов держат всё на горячем «для удобства», и это один из главных рисков, который заканчивается реальными потерями.
Почему «всё на горячем» — это ставка на удачу
Горячий кошелёк подключён к интернету постоянно. Это удобно: автовывод работает мгновенно, курсы обновляются в реальном времени. Но чем дольше ключи в онлайне — тем больше времени у атакующего, чтобы найти слабое место. Достаточно одной уязвимости в серверном ПО, ошибки в коде или фишинговой атаки на администратора.
Небольшие обменники теряли всё за одну ночь — не потому что халтурили, а потому что хранили слишком много на горячем. Страховки на крипто-рынке нет. Резервного плана тоже нет, если его не сделали заранее.
Горячий и холодный: в чём разница на практике
Горячий кошелёк — как касса в магазине: всегда открыта, всегда под рукой. Холодный — как сейф в подвале: ежедневно туда не лезут, но именно там лежит основная сумма.
Технически: горячий хранит ключи на сервере или устройстве, которое постоянно в сети. Холодный — это ключи, которые никогда не касаются интернета. Аппаратный кошелёк (Ledger, Trezor), air-gapped компьютер или бумажный резерв в физическом сейфе.
Сколько держать на горячем: правило суточного оборота
На горячем кошельке должно лежать не больше суммы, нужной для выплат за 24 часа. Обменник платит клиентам $8 000 в день — держите на горячем $8–12 тысяч с небольшим буфером. Остальное — в холодное хранение.
Это не паранойя, а стандартная практика. Если горячий кошелёк взломают — потери контролируемые. Бизнес не умрёт.
Как организовать холодное хранение без боли
Три варианта, от простого к сложному:
- Аппаратный кошелёк — Ledger Flex, Trezor Safe 5 или аналоги. Ключи не покидают устройство. Подходит для сумм до $100–200 тысяч. Главный риск — физическая утрата или повреждение.
- Air-gapped машина — ноутбук, который никогда не был в интернете. Транзакции подписываются офлайн, передаются через QR-код или USB. Трудоёмко, зато надёжно.
- Мультисиг-кошелёк — несколько ключей, несколько подписантов. Ни один администратор не может вывести средства в одиночку. Следующий уровень защиты.
Мультисиг: когда нужен, а когда — лишнее
Мультисиг (multi-signature) — схема, при которой для подписи транзакции требуется несколько ключей, например 2 из 3. Один ключ скомпрометирован — ничего страшного, остальные держат оборону.
Когда нужен:
- На холодном хранении больше $50 000.
- Доступ к средствам есть у нескольких администраторов.
- Обменник работает в юрисдикции с требованиями к комплаенсу.
Если только запускаетесь и на счетах меньше $20–30 тысяч — начните с аппаратного кошелька и суточного правила. Этого достаточно, чтобы заблокировать большинство типичных рисков.
Три ошибки, которые совершают все
Первая: нет разделения — оперативные средства и резерв хранятся в одном кошельке. Вторая: seed-фраза от холодного кошелька лежит в облаке или на том же компьютере. Третья: у нескольких человек есть доступ к холодному хранению, но журнала нет — кто, когда и зачем туда заходил, никто не знает.
Каждая из этих ошибок сама по себе некритична. Все три вместе — это надёжный способ потерять всё.
Вывод
Разделение горячего и холодного хранения — это не опция, а фундамент. Суточное правило, холодный резерв, мультисиг при росте объёмов. Начните с простого: выделите отдельный кошелёк под оперативку прямо сейчас. Если строите или масштабируете обменник, iEXWallet — это собственная система кошельков для обменников без комиссии посредникам.
