Холодный кошелек для обменника — это не сейф «на всякий случай», а рабочий инструмент, который решает, переживёт ли бизнес взлом биржи или сбой API. Обменники, которые держат почти весь оборот в одном горячем кошельке, рискуют всем сразу: один скомпрометированный ключ — и депозиты клиентов исчезают за минуты. Разберёмся, как выстроить связку из горячего, холодного и мультиподписного кошелька так, чтобы бизнес пережил и хакера, и обычную человеческую ошибку.
Зачем обменнику вообще несколько кошельков
Один кошелек на весь оборот — это единая точка отказа. Если он подключён к интернету (а горячий кошелек обязан быть подключён, иначе клиент не получит деньги за секунды), то риск компрометации не нулевой никогда — вопрос только в цене ошибки. Разделение на несколько кошельков с разными правами доступа снижает эту цену: даже если взломают один контур, остальные деньги остаются целы.
Представьте обменный пункт в аэропорту: кассир не хранит всю дневную выручку в ящике — её регулярно уносят в сейф склада. Обменник криптовалют работает так же, просто вместо банкнот — ключи.
Горячий кошелек: скорость ценой риска
Горячий кошелек нужен для мгновенных выплат клиентам, и в этом его единственная задача — не хранение. Держать в нём стоит ровно столько, сколько нужно для покрытия обычного дневного оборота, а не «про запас». Если типичный день — это, скажем, 200 заявок на вывод, то горячего баланса хватает на них с небольшим запасом, а не на месяц вперёд.
Практика, которая ловит новичков: комиссия сети в час пик может подскочить в разы, и обменник, зажатый по горячему балансу, начинает задерживать выплаты. Резерв на такие скачки — тоже часть горячего кошелька, но небольшая.
Холодный кошелек: медленно, зато надёжно
Холодный кошелек не подключён к интернету — приватный ключ физически не может утечь через взлом сервера, потому что подписание транзакции происходит офлайн. Это устройство или отдельный компьютер, который включают только для перевода средств в горячий кошелек, и не чаще, чем реально нужно.
Цена этой надёжности — скорость: перевод из холодного кошелька занимает часы, иногда день, потому что требует ручных действий и проверок. Именно поэтому в холодном кошельке держат основную часть резервов обменника, а не оперативный баланс.
Мультиподпись: страховка от одного скомпрометированного ключа
Мультиподпись (мультисиг) означает, что для перевода средств нужна не одна подпись, а несколько — например, 2 из 3 ключей, которые физически хранятся у разных людей или в разных местах. Даже если один ключ украден или сотрудник уволился со злым умыслом, перевод без остальных подписей не пройдёт.
Для холодного резерва обменника мультисиг снижает риск не только взлома, но и внутреннего мошенничества — а это статистически более частая причина потерь, чем внешняя атака.
Как распределить средства: рабочая схема
Универсальной цифры нет, но логика, которую используют работающие обменники, обычно такая:
- Горячий кошелек — покрытие 1-3 дней типичного оборота плюс запас на скачок комиссий;
- Холодный кошелек с мультисигом — основной резерв, регулярные переводы в горячий по расписанию, а не по факту нехватки;
- Отдельный кошелек для каждой сети и токена — чтобы ошибка в одной интеграции не задела остальные;
- Ежедневная сверка балансов между кошельками и учётной системой, а не раз в неделю.
Частые ошибки при настройке кошельков
Самая частая — держать в горячем кошельке «на всякий случай» кратно больше, чем требует оборот, потому что переводить из холодного «лень». Вторая — доверять один ключ мультисига и его резервную копию одному и тому же человеку, что убивает весь смысл схемы. Третья — не тестировать процедуру восстановления холодного кошелька заранее: в момент реальной аварии тестировать её уже поздно.
Вывод
Связка горячего, холодного и мультисиг-кошелька — это не бюрократия, а разница между обменником, который потерял немного на комиссиях, и обменником, который потерял всё на одном взломе. Для собственного обменника такую инфраструктуру не обязательно собирать с нуля — iEXWallet даёт готовый кошелёк для владельцев обменников без комиссии посреднику.
