Мультисиг-кошелёк для обменника — это не причуда параноика из отдела безопасности, а страховка от одной-единственной ночи, которая может закрыть бизнес. На балансе почти любого работающего обменника лежат десятки, а то и сотни тысяч долларов в крипте — и вопрос давно не в том, попытаются ли когда-нибудь взломать горячий кошелёк. Вопрос в том, сколько вы потеряете, когда это случится, и есть ли у резерва запасной план.
Три вида кошелька: что и зачем
Горячий кошелёк подключён к интернету и платит мгновенно. Холодный лежит offline и физически недоступен для удалённого взлома. Мультисиг — это не отдельное «место», а правило: перевод проходит, только если его подписали несколько ключей одновременно, а не один сотрудник с одним паролем.
Для частного держателя крипты это вопрос удобства. Для обменника — вопрос устройства кассы. Представьте обычный обменный пункт: часть наличности лежит в кассе для расчётов с клиентами прямо сейчас, а основная сумма — в сейфе, который не открыть в одиночку. Крипто-инфраструктура работает по той же логике, только сейф называется мультисиг.
Горячий кошелёк: рабочая лошадка с постоянным риском
Без горячего кошелька обменник просто не может закрывать сделки в реальном времени — клиент ждёт секунды, а не часы на подтверждение из офлайн-хранилища. Но то же самое подключение к сети, что даёт скорость, делает кошелёк потенциальной целью: фишинг сотрудника, скомпрометированный ноутбук, уязвимость в софте — и деньги уходят за одну транзакцию.
Практический ориентир, которым пользуются многие операторы: в горячем кошельке держат сумму, сопоставимую с оборотом одного-двух дней, — не больше того, что можно спокойно списать в худшем сценарии. Всё, что превышает этот порог, логично переводить в холодный контур на регулярной основе, а не раз в квартал, когда кто-то вспомнит.
Холодное хранение и мультисиг: резерв, который нельзя украсть в одиночку
Холодный кошелёк снимает риск удалённого взлома, но добавляет свой: если единственный человек с доступом к сид-фразе заболеет, уволится или потеряет ноутбук с ключом, резерв может оказаться заморожен так же надёжно, как и защищён. Мультисиг решает именно эту проблему.
Стандартная схема — «2 из 3» или «3 из 5»: ключи хранятся у разных людей или в разных физических местах, а для подписи транзакции нужно собрать кворум. Потерять один ключ — не катастрофа, схема продолжает работать. Своровать деньги в одиночку — тоже не получится, даже если скомпрометирован один из держателей.
- Ключи физически разнесены — не в одном офисе и не в одном облачном аккаунте
- Ни один сотрудник не держит кворум ключей единолично
- Порог подписи (M из N) зафиксирован письменно и не меняется в ручном режиме
Как выстроить многоуровневую схему хранения
Работающая модель обычно состоит не из двух уровней, а из трёх. Первый — горячий кошелёк для текущих расчётов. Второй — «тёплый» буфер с чуть более строгим доступом, куда переводится остаток в конце операционного дня. Третий — холодный мультисиг-резерв, который трогают редко и по фиксированному регламенту.
Ключевая деталь, которую часто упускают: перевод между уровнями должен быть по расписанию, а не по настроению ответственного. Обменник, который переносит излишки в холодный контур каждый вечер по чек-листу, теряет в удобстве, но выигрывает в предсказуемости — а предсказуемость и есть то, что страхует от паники в момент инцидента.
Частые ошибки при переходе на мультисиг
Само слово «мультисиг» не защищает от глупостей в организации процесса. Самая частая ошибка — один и тот же человек держит два ключа из трёх «для удобства», и схема 2-из-3 фактически превращается в кошелёк с одним владельцем.
- Все ключи хранятся в одном офисе или на одном устройстве
- Процедура восстановления доступа ни разу не проверялась на практике
- Нет письменного протокола на случай потери ключа или ухода сотрудника
- Пороги хранения не пересматривались с ростом оборота обменника
Каждая из этих ошибок по отдельности звучит как мелочь. Вместе они превращают мультисиг в театр безопасности, который выглядит надёжно на схеме и подводит в реальной ситуации.
Вывод
Универсальной пропорции между горячим, тёплым и холодным контуром не существует — она зависит от оборота, числа операторов и аппетита к риску конкретного бизнеса. Но сам принцип разделения и распределённого контроля ключей работает почти всегда, и переход на него того стоит. Запустить обменник со встроенным собственным кошельком, без комиссии посреднику и с контролем над схемой хранения с первого дня, можно на платформе iEXWallet.
