Холодный резерв обменника — это крипта, которая лежит офлайн и не трогается в обычной работе. Вопрос не в том, нужен ли он: нужен. Вопрос — сколько туда класть и как часто доставать, чтобы бизнес не встал и не обнищал от одной ошибки подписанта. Короткий ответ ниже, дальше — цифры и процедура.
Зачем вообще два кошелька
Два кошелька нужны, чтобы один инцидент не обнулил весь бизнес. Горячий кошелек — для текущих выплат клиентам, доступен 24/7, но уязвим, если взломают сервер. Холодный — офлайн, недоступен хакеру через интернет, но и достать оттуда деньги быстро не получится.
Представьте обменник, который держит всё на горячем кошельке ради скорости. Один скомпрометированный API-ключ — и баланс обнуляется за минуты. С холодным резервом атакующий в лучшем случае получит доступ к операционной части, а не ко всему бизнесу.
Сколько держать в холодном, сколько в горячем
Практичное правило: на горячем кошельке держат объём, покрывающий 1-3 дня типичных выплат, остальное уводят в холод.
- средний суточный объём выплат
- пиковые дни — скачки курса, акции
- скорость пополнения горячего из холодного
- буфер на случай задержки сети
Ошибётесь с этим соотношением в любую сторону — либо постоянно ходите под риском, либо клиенты будут ждать вывода.
Hardware, мультисиг или MPC — что выбрать для холода
Каждый вариант по-своему меняет удобство на устойчивость. Hardware-кошелек дешев и прост, но это единая точка отказа, если устройство или подписант недоступен или скомпрометирован. Мультисиг (например, 2 из 3) переживает компрометацию одного ключа, но координация нескольких подписантов замедляет каждый перевод. MPC подписывает без сборки единого ключа в одном месте — быстрее мультисига, но тут вы доверяете безопасности самого провайдера технологии.
Ни один из вариантов не снимает риск человека: если три подписанта мультисига сидят в одном кабинете и подписывают по первой просьбе, это мультисиг на бумаге, а не на практике.
Регламент ротации: кто подписывает и как часто
Ротация резерва — не разовая настройка, а процесс с датами и ролями.
- кто инициирует перевод из холода в горячий
- минимум два независимых подписанта
- окно подписания — рабочие часы, а не три ночи
- журнал каждой операции: сумма, причина, кто одобрил
Один обменник из нашей практики переводил резерв каждый четверг, независимо от спроса — и прошёл год резких скачков курса без единой паники, потому что горячий баланс обновлялся по предсказуемому графику.
Частые ошибки при организации резерва
- Держать слишком много на горячем «для скорости» — очевидная цель для любого хакера.
- Доверять холодный кошелек одному человеку без запасного подписанта.
- Никогда не тестировать восстановление сид-фразы — бэкап есть, но никто не проверял, что он реально восстанавливается.
- Хранить ключи всех подписантов в одном физическом месте — пожар или кража решают всё одним махом.
- Ротировать «по настроению», без фиксированного графика.
Вывод
Холодный резерв — это не сейф, который открывают один раз и забывают. Это процедура: сколько, кто, когда и при каких условиях. Если процедуры нет, рано или поздно её заменит паника. Для тех, кто запускает собственный обменник и не хочет собирать схему хранения из подручных средств, есть готовый кошелек с собственной логикой резервов — iEXWallet — без комиссии посреднику и без разработки с нуля.
