Pewnej nocy kantor traci dostęp do gorącego portfela — phishing, wykradziony klucz API, nieważne co dokładnie. Liczy się jedno pytanie: ile środków tam leżało? Jeśli odpowiedź brzmi „prawie cały kapitał obrotowy” — biznes jest skończony. Jeśli „dzienny limit” — to przykry, ale możliwy do przetrwania epizod. Równowaga między gorącym a zimnym portfelem to nie techniczny szczegół, tylko główna linia obrony kantoru.
Po co w ogóle dzielić portfele
Gorący portfel jest podłączony do internetu i automatycznie obsługuje klientów — to kasa na ladzie, z której sprzedawca wydaje resztę bez chodzenia do sejfu. Zimny portfel nie jest podłączony do żadnej sieci: klucze żyją na urządzeniu albo w schemacie multisig, gdzie podpis zbiera się ręcznie. To sejf w zapleczu, do którego trzeba jeszcze dojść.
Kantor potrzebuje obu. Bez gorącego portfela wypłata dla klienta trwa godziny zamiast minut, a zlecenia się piętrzą. Bez zimnego — cały obrót leży tam, gdzie teoretycznie może po niego sięgnąć każdy, kto przebije się przez zabezpieczenia serwera.
Ile trzymać w gorącym portfelu
Nie ma jednego uniwersalnego procentu, ale jest praktyczny punkt odniesienia: saldo gorącego portfela powinno pokrywać wypłaty ze szczytowych 24-48 godzin, a nie cały miesięczny obrót. Kantor z obrotem 50 000 USD dziennie i sporadycznymi skokami może trzymać w gorącym portfelu 5000-10 000 USD — reszta zostaje w zimnym.
Obserwuj trzy liczby: średnią wielkość zlecenia wypłaty, maksymalną liczbę zleceń w godzinie szczytu oraz to, jak szybko możesz zasilić gorący portfel z zimnego w razie napływu zleceń. Jeśli uzupełnienie zajmuje 15 minut przy dostępnym operatorze — możesz trzymać mniej. Jeśli signing ceremony trwa pół dnia, będziesz musiał trzymać większy gorący bufor — i to też jest ryzyko, które trzeba świadomie zaakceptować.
Jak w praktyce działa zimne przechowywanie
Najczęściej to nie jeden sejf, tylko portfel multisig, w którym do przelewu potrzeba 2 z 3 albo 3 z 5 podpisów od różnych kluczy, fizycznie przechowywanych przez różne osoby. Dzięki temu żaden pracownik — nawet z pełnym dostępem do serwera — nie może samodzielnie wyprowadzić rezerwy.
Portfele sprzętowe (hardware wallets) dodają kolejną barierę: klucz prywatny nigdy nie opuszcza urządzenia, nawet jeśli podłączony do niego komputer jest zainfekowany. Dla kantoru z obrotem od kilkuset tysięcy dolarów miesięcznie multisig na kluczach sprzętowych to już nie luksus, tylko podstawowa higiena.
Kiedy pora zrewidować równowagę
- Obrót wzrósł 2-3 razy w ciągu kwartału, a limity gorącego portfela pozostały bez zmian;
- klienci zaczęli narzekać na opóźnienia wypłat w godzinach szczytu;
- nie macie dziennika, kto i kiedy przenosił środki między portfelami;
- signing ceremony dla zimnego portfela nadal wykonuje jedna osoba, a nie dwie-trzy;
- ani razu w ciągu ostatniego roku nie testowaliście odzyskiwania dostępu do zimnego portfela.
Jeśli pasują co najmniej dwa punkty, to sygnał, by przebudować schemat przechowywania, a nie odkładać sprawę do incydentu.
Częste błędy
Najczęstszy — trzymanie w gorącym portfelu „z zapasem”, żeby nie myśleć o uzupełnianiu. Tak rezerwa na dwa dni niepostrzeżenie zamienia się w rezerwę na dwa tygodnie, i nikt tego nie zauważa, dopóki nie jest za późno.
Drugi — zimne przechowywanie z jednym posiadaczem klucza. Formalnie to już nie „zimny portfel”, tylko zwykły portfel bez internetu: jeśli coś stanie się tej osobie albo wyjedzie na urlop bez kontaktu, dostęp do rezerwy znika razem z nią.
Podsumowanie
Podział na gorący i zimny portfel działa tylko wtedy, gdy limity są rewidowane wraz ze wzrostem obrotu, a nie ustalane raz i zapominane. Kantorom, które chcą mieć własną infrastrukturę przechowywania bez prowizji dla pośrednika, warto przyjrzeć się iEXWallet — gotowemu portfelowi kryptowalut dla kantoru.
