Portfel multisig dla exchangera przechowuje rezerwy tak, że żaden pracownik nie może samodzielnie wypłacić środków — transakcja przechodzi dopiero, gdy podpisze ją kilku niezależnych posiadaczy kluczy. To podstawa bezpieczeństwa dla każdego exchangera, który wyrósł z ręcznej kontroli jednego właściciela. Źle skonfigurowany schemat podpisów nie daje jednak ochrony, tylko nowy pojedynczy punkt awarii, odkrywany w najgorszym możliwym momencie.
Kiedy zwykły zimny portfel przestaje wystarczać
Jeden klucz prywatny działa dobrze, dopóki jest jedna osoba i jedno urządzenie. Wszystko zmienia się, gdy pojawia się kasjer z uprawnieniami do wypłat, księgowy uzgadniający rezerwy i wspólnik, który zainwestował kapitał w obrót.
Typowy obrazek: właściciel trzyma frazę seed w notatniku telefonu "na wszelki wypadek", a sam zimny portfel żyje na jednym urządzeniu w biurowym sejfie. Urządzenie się psuje albo ginie — i cała rezerwa jest zamrożona do czasu odzyskania jej z frazy seed, którą widziała już więcej niż jedna osoba. Jeden klucz bywa albo wygodny, albo bezpieczny. Rzadko jedno i drugie naraz.
Jak działa multisig: sejf otwierany dwoma kluczami
Multisig to portfel, do podpisania transakcji w którym potrzeba nie jednego klucza, a kilku z wcześniej ustalonego zestawu. Schemat zapisuje się jako M-z-N: 2-z-3 oznacza, że wystarczą dowolne dwa z trzech możliwych sygnatariuszy.
To trochę jak skrytka bankowa otwierana kluczami dwóch różnych menedżerów: żaden z nich nie otworzy jej sam, nawet gdyby chciał. W kryptowalutach dzieje się to na poziomie protokołu — wypłata po prostu nie powstanie bez wymaganej liczby podpisów, a sfałszować tego później się nie da.
Pięć błędów, które po cichu niszczą ochronę multisig
Schemat M-z-N chroni tylko wtedy, gdy klucze są naprawdę rozdzielone między niezależne osoby i urządzenia. W praktyce exchangery regularnie zerują sens multisiga jednym z tych błędów:
- Wszystkie klucze trzymane w jednym sejfie albo na urządzeniach jednej osoby "dla wygody".
- Schemat 2-z-2 bez zapasowego sygnatariusza — choroba albo konflikt ze wspólnikiem i rezerwa staje się niedostępna.
- Zatwierdzenia podpisywane bez czytania, bo "tak robimy codziennie" — to całkowicie unieważnia ochronę.
- Brak pisemnej procedury na wypadek odejścia lub zniknięcia posiadacza klucza.
- Kopia zapasowa klucza leży w chmurze zabezpieczonej zwykłym hasłem, dostępnym z dowolnego miejsca.
Jak dobrać schemat M-z-N do wielkości exchangera
Zasada jest prosta: im większe obroty i więcej zaangażowanych osób, tym więcej niezależnych sygnatariuszy potrzeba i tym surowiej trzeba rozdzielić przechowywanie. Małemu exchangerowi na starcie zwykle wystarcza 2-z-3 — właściciel, zaufany współwłaściciel lub CTO oraz jeden zapasowy klucz w osobnym sejfie bankowym albo u notariusza.
Exchangerowi średniej wielkości, gdzie decyzje podejmuje kilka osób, warto przejść na 3-z-5 z jasnym podziałem: część kluczy u zarządu operacyjnego, część u właścicieli, jeden w niezależnym przechowaniu na wypadek sytuacji awaryjnej. Osobno warto trzymać niewielki portfel gorący do codziennych wypłat — tam multisig zwykle jest zbędny — ale głównej rezerwy nigdy nie zostawiajcie bez niego.
Co zrobić, gdy posiadacz klucza staje się niedostępny
Szczerze mówiąc, multisig sam z siebie tego problemu nie rozwiąże, tylko daje czas, by go rozwiązać. Posiadacz klucza może zachorować, odejść albo po prostu poróżnić się ze wspólnikami, a jeśli schemat nie przewiduje wymiany sygnatariusza, exchanger ryzykuje utknięcie z niedostępną rezerwą dokładnie wtedy, gdy pieniądze są najbardziej potrzebne.
Działającym rozwiązaniem jest wcześniejsze spisanie procedury rotacji kluczy i utrzymywanie udokumentowanego zapasowego scenariusza dostępu, znanego ograniczonemu gronu osób. To dodatkowa praca administracyjna i realny czas — ale taniej niż rozplątywanie zablokowanej rezerwy w środku dnia roboczego.
Podsumowanie
Portfel multisig to nie punkt do odhaczenia na liście bezpieczeństwa, tylko proces operacyjny wymagający tyle samo stałej uwagi, co księgowość. Błąd w schemacie podpisów albo brak planu na wypadek utraty klucza po cichu unieważnia cały sens rozdzielania odpowiedzialności.
Jeśli prowadzisz lub uruchamiasz własny exchanger i chcesz mieć rezerwy pod kontrolą bez płacenia prowizji pośrednikowi, platforma iEXExchanger oferuje iEXWallet — własny portfel kryptowalutowy zbudowany dla właścicieli exchangerów.
