Portfel multisig to nie fanaberia działu bezpieczeństwa, tylko polisa na jedną złą noc, która potrafi zamknąć biznes. Każdy działający kantor krypto trzyma w danym momencie dziesiątki, a czasem setki tysięcy dolarów w kryptowalucie — i pytanie dawno nie brzmi, czy ktoś kiedyś zaatakuje gorący portfel. Pytanie brzmi, ile stracisz, gdy to się stanie, i czy rezerwa ma plan awaryjny.
Trzy rodzaje portfela — i dlaczego kantor musi się nimi przejmować
Gorący portfel jest podłączony do sieci i płaci natychmiast. Zimny leży offline, poza zasięgiem zdalnego włamania. Multisig to nie osobne "miejsce", tylko zasada: przelew przechodzi wyłącznie wtedy, gdy podpisze go kilka kluczy naraz, a nie jeden pracownik z jednym hasłem.
Dla zwykłego posiadacza krypto to kwestia gustu. Dla kantoru to kwestia konstrukcji kasy. Wyobraź sobie zwykły kantor stacjonarny: część gotówki leży w szufladzie do bieżącej obsługi klientów, reszta w sejfie, którego nikt nie otworzy sam. Infrastruktura krypto działa według tej samej logiki — tylko sejf nazywa się multisig.
Gorący portfel: koń roboczy, który zawsze jest celem
Bez gorącego portfela kantor nie rozliczy transakcji w czasie rzeczywistym — klient czeka sekundy, nie godziny na potwierdzenie z offline'owego magazynu. Ale to samo połączenie z siecią, które daje szybkość, robi z portfela cel: phishing na pracownika, przejęty laptop, luka w oprogramowaniu — i środki znikają w jednej transakcji.
Praktyczny punkt odniesienia stosowany przez wielu operatorów: w gorącym portfelu trzymać sumę odpowiadającą jedno-, dwudniowemu obrotowi — nie więcej, niż można spokojnie odpisać w najgorszym scenariuszu. Wszystko powyżej tego progu logicznie przenieść do zimnego obiegu na stałym harmonogramie, a nie raz na kwartał, gdy ktoś sobie przypomni.
Zimne przechowywanie i multisig: rezerwa, której nie ukradnie się w pojedynkę
Zimny portfel usuwa ryzyko zdalnego włamania, ale dokłada własne: jeśli jedyna osoba znająca seed frazę zachoruje, odejdzie z pracy albo zgubi laptopa z kluczem, rezerwa może okazać się równie zablokowana, co chroniona. Multisig rozwiązuje właśnie ten problem.
Standardowy układ to "2 z 3" albo "3 z 5": klucze przechowują różne osoby lub różne fizyczne lokalizacje, a podpisanie transakcji wymaga zebrania kworum. Utrata jednego klucza to nie katastrofa — schemat dalej działa. Ukraść środków w pojedynkę też się nie da, nawet jeśli skompromitowany zostanie jeden z posiadaczy klucza.
- Klucze są fizycznie rozproszone — nie w jednym biurze i nie na jednym koncie w chmurze
- Żaden pracownik nie trzyma samodzielnie kworum kluczy
- Próg podpisu (M z N) jest udokumentowany pisemnie i nie zmienia się doraźnie
Jak zbudować wielopoziomowy schemat przechowywania
Działający model zwykle ma trzy poziomy, nie dwa. Pierwszy to gorący portfel do bieżących rozliczeń. Drugi to "ciepły" bufor z nieco ściślejszym dostępem, gdzie na koniec dnia operacyjnego trafia nadwyżka. Trzeci to zimna rezerwa multisig, do której sięga się rzadko i według stałej procedury.
Szczegół, który łatwo przeoczyć: przelew między poziomami powinien działać według harmonogramu, a nie nastroju osoby akurat odpowiedzialnej. Kantor, który co wieczór przenosi nadwyżki do zimnego obiegu według checklisty, traci trochę na wygodzie, ale zyskuje przewidywalność — a to właśnie ona chroni przed paniką w momencie incydentu.
Częste błędy przy przechodzeniu na multisig
Samo słowo "multisig" nie chroni przed bałaganem w organizacji procesu. Najczęstszy błąd: ta sama osoba trzyma dwa z trzech kluczy "dla wygody", i schemat 2 z 3 po cichu zamienia się w portfel jednego właściciela.
- Wszystkie klucze przechowywane w jednym biurze lub na jednym urządzeniu
- Procedura odzyskiwania dostępu nigdy nie została realnie przetestowana
- Brak pisemnego protokołu na wypadek zgubienia klucza lub odejścia pracownika
- Progi przechowywania nie były aktualizowane mimo wzrostu obrotu
Każdy z tych błędów osobno wygląda na drobiazg. Razem zamieniają multisig w teatr bezpieczeństwa — przekonujący na schemacie, bezużyteczny w realnym incydencie.
Podsumowanie
Nie ma uniwersalnej proporcji między gorącym, ciepłym i zimnym obiegiem — zależy ona od obrotu, liczby operatorów i apetytu na ryzyko konkretnego biznesu. Ale sama zasada rozdzielenia i rozproszonej kontroli kluczy sprawdza się niemal zawsze i warto ją wdrożyć. Kantor z wbudowanym własnym portfelem, bez prowizji dla pośrednika i z kontrolą nad schematem przechowywania od pierwszego dnia można uruchomić na platformie iEXWallet.
