Zimny portfel dla kantoru kryptowalut to nie sejf "na wszelki wypadek" — to narzędzie, które decyduje, czy biznes przetrwa włamanie na serwer albo nagły skok opłat sieciowych. Kantory trzymające niemal cały obrót w jednym gorącym portfelu stawiają wszystko na jeden punkt awarii: wyciek jednego klucza i depozyty klientów znikają w kilka minut. Zobaczmy, jak połączyć portfel gorący, zimny i multisig, żeby biznes przetrwał zarówno hakera, jak i zwykły ludzki błąd.
Dlaczego jeden portfel nigdy nie wystarczy
Trzymanie całego salda w jednym portfelu to z definicji pojedynczy punkt awarii. Jeśli jest podłączony do internetu — a gorący portfel musi być, inaczej klient czeka w nieskończoność na wypłatę — ryzyko przejęcia nigdy nie spada do zera, zmienia się tylko cena błędu. Rozdzielenie środków między portfele o różnych uprawnieniach obniża tę cenę: nawet jeśli złamią jedną warstwę, reszta pieniędzy zostaje nietknięta.
Wyobraź sobie kantor na lotnisku: kasjer nie trzyma całej dziennej utargu w szufladzie, tylko regularnie odkłada ją do sejfu na zapleczu. Kantor kryptowalut działa tak samo, tylko zamiast banknotów są klucze.
Gorący portfel: szybko, ale kosztem ryzyka
Gorący portfel istnieje po to, żeby klient dostał pieniądze natychmiast — nie po to, żeby cokolwiek w nim przechowywać. Powinien zawierać mniej więcej tyle, ile pokrywa typowy dzienny wolumen wypłat, plus mały bufor, a nie zapas na miesiąc "na wszelki wypadek". Jeśli typowy dzień to 200 zleceń wypłaty, saldo gorące dobiera się do tego, z pewnym marginesem, a nie pod słabszy miesiąc, który może nigdy nie nadejdzie.
Coś, co zaskakuje nowych operatorów: opłaty sieciowe w godzinach szczytu potrafią skoczyć kilkukrotnie, a kantor z napiętym saldem gorącym zaczyna opóźniać wypłaty właśnie wtedy, gdy klient zauważa to najbardziej. Ten skok trzeba wliczyć w bufor, a nie tłumaczyć po fakcie.
Zimny portfel: wolniej, ale pieniądze naprawdę zostają na miejscu
Zimny portfel nie jest podłączony do internetu — klucz prywatny fizycznie nie może wyciec przez włamanie na serwer, bo podpisywanie transakcji odbywa się offline. To dedykowane urządzenie albo fizycznie odizolowany komputer, uruchamiany tylko po to, żeby przelać środki do portfela gorącego, i nie częściej niż naprawdę trzeba.
Cena tej pewności to szybkość: przelew z zimnego portfela trwa godziny, czasem cały dzień, bo z założenia wymaga ręcznych kroków i weryfikacji. Dlatego właśnie większość rezerw kantoru powinna leżeć tam, a nie w bieżącym saldzie operacyjnym.
Multisig: ubezpieczenie na wypadek jednego przejętego klucza
Multisig oznacza, że przelew wymaga więcej niż jednego podpisu — na przykład 2 z 3 kluczy, przechowywanych fizycznie przez różne osoby lub w różnych miejscach. Nawet jeśli ktoś ukradnie jeden klucz albo pracownik odejdzie z żalem do firmy, przelew bez pozostałych podpisów się nie wykona.
Dla zimnej rezerwy kantoru multisig chroni nie tylko przed włamaniem, ale też przed wewnętrznym oszustwem — a to statystycznie częstsza przyczyna strat niż atak z zewnątrz.
Jak podzielić środki: sprawdzony schemat
Nie ma jednej uniwersalnej liczby, ale logika kantorów, które faktycznie działają stabilnie, zwykle wygląda tak:
- Portfel gorący — pokrycie 1-3 dni typowego obrotu plus bufor na skok opłat;
- Zimny portfel z multisig — główna rezerwa, zasilana do gorącego według harmonogramu, a nie w chwili niedoboru;
- Osobny portfel dla każdej sieci i tokena, żeby błąd w jednej integracji nie zaraził reszty;
- Codzienna weryfikacja sald między portfelami a systemem księgowym, nie raz w tygodniu.
Błędy, które wracają najczęściej
Najczęstszy: trzymanie w gorącym portfelu "na wszelki wypadek" znacznie więcej niż wymaga obrót, bo przelewanie z zimnego wydaje się kłopotliwe. Drugi: powierzenie jednego klucza multisig i jego kopii zapasowej tej samej osobie, co po cichu unieważnia cały sens multisig. Trzeci: nigdy nie przetestowana procedura odzyskiwania zimnego portfela — sprawdza się ją dopiero w dniu prawdziwej awarii, kiedy jest już za późno.
Podsumowanie
Połączenie portfela gorącego, zimnego i multisig to różnica między kantorem, który traci trochę na opłatach, a kantorem, który traci wszystko przez jedno włamanie. Takiej infrastruktury nie trzeba budować od zera — iEXWallet daje właścicielom kantorów gotowy portfel bez prowizji dla pośrednika.
