Portfel multisig wymaga podpisu kilku kluczy naraz, a nie jednego, zanim środki opuszczą konto. Dla exchangera to nie marketingowe hasło, tylko konkretna ochrona: nawet jeśli laptop kasjera zostanie skradziony albo hasło wycieknie w phishingowym mailu, napastnik i tak nie wyprowadzi salda w pojedynkę.
Co się dzieje, gdy klucz jest tylko jeden
Jeden klucz prywatny to jedna osoba, jedno urządzenie, jeden punkt awarii. Wyobraźcie sobie mały exchanger, gdzie całe saldo USDT leży w gorącym portfelu, do którego dostęp ma tylko dyrektor techniczny. Wyjeżdża na urlop, na lotnisku kradną mu telefon, a wraz z nim frazę seed sfotografowaną „na wszelki wypadek" i zapisaną w notatkach. Dalszy scenariusz jest przewidywalny: środki znikają w jednej transakcji, a blockchaina nie da się cofnąć.
Tak najczęściej tracą pieniądze — nie przez egzotyczny atak na blockchain, tylko przez zwykłe niedbalstwo w obchodzeniu się z kluczem.
Jak multisig działa w praktyce
Multisig ustala regułę: do przelewu potrzeba N podpisów spośród M możliwych kluczy. Schemat 2-z-3 jest najpopularniejszy — dwa klucze są obowiązkowe do każdej transakcji, trzeci trzymany jest w rezerwie. Zgubienie jednego klucza nie zatrzymuje operacji — dostęp odtwarza się z pozostałych dwóch plus rezerwowego.
Technicznie to albo natywny multisig sieci (Bitcoin, niektóre portfele EVM jak Gnosis Safe), albo schemat MPC, w którym jeden klucz jest matematycznie podzielony na części, więc nie ma jednego pliku do ukradzenia. Ta różnica ma znaczenie dla inżynierów; dla klienta exchangera liczy się tylko to, że żaden pracownik nie wyprowadzi salda samodzielnie.
Jaki schemat podpisu wybrać
Nie ma uniwersalnej liczby — schemat zależy od wielkości zespołu i obrotu. Dla małego exchangera z dwoma-trzema operatorami rozsądnym minimum jest 2-z-3: właściciel, dyrektor techniczny i klucz w zimnym przechowywaniu na wypadek awarii. Większe zespoły czasem przechodzą na 3-z-5, gdzie jeden klucz fizycznie leży poza biurem, na przykład w skrytce bankowej.
- Nigdy nie trzymajcie wszystkich kluczy w jednym miejscu — pożar czy przeszukanie nie powinny odcinać dostępu do wszystkiego naraz.
- Przynajmniej jeden klucz powinna trzymać osoba niezaangażowana w codzienne operacje — to spowalnia wewnętrzne nadużycia.
- Gorący portfel do bieżących wypłat trzymajcie osobno od skarbca multisig z głównym saldem i ograniczcie kwotę dostępną do szybkiego wypłacenia.
Błędy, które zamieniają multisig w formalność
Multisig nic nie daje, jeśli w praktyce wszystkie klucze i tak trafiają do rąk jednej osoby — a zdarza się to częściej, niż mogłoby się wydawać. Założyciel konfiguruje 2-z-3 „dla porządku", po czym hasła do dwóch urządzeń trzyma w tym samym menedżerze haseł, chronionym własnym kluczem głównym. Na papierze to multisig, w praktyce — jeden klucz w przebraniu.
Drugi częsty błąd to klucz zapasowy, którego nikt nigdy nie przetestował. Leży w sejfie trzy lata, a gdy przychodzi do odzyskiwania dostępu, okazuje się, że fraza seed jest niekompletna albo urządzenie się nie włącza. Warto testować zapasowy dostęp przynajmniej raz w roku, najlepiej na niewielkiej kwocie.
Multisig czy portfel MPC od dostawcy
Klasyczny multisig daje pełną kontrolę, ale wymaga, by zespół naprawdę rozumiał zarządzanie kluczami — to czas i dyscyplina. Gotowe rozwiązanie MPC zdejmuje część tego obciążenia operacyjnego, ale dodaje zależność od dostawcy: jeśli jego usługa padnie, wypłaty mogą się zatrzymać razem z nią.
Jeśli budujecie funkcję portfela we własnym produkcie dla klientów, a nie tylko chronicie własną skarbnicę, warto rozejrzeć się za rozwiązaniami zaprojektowanymi właśnie pod taki scenariusz — z rozdzieleniem obiegu gorącego i zimnego i bez jednego punktu awarii u pośrednika.
Podsumowanie
Portfel multisig nie powstrzyma phishingu, inżynierii społecznej ani zmowy wewnętrznej — te ryzyka nie znikają. Ale eliminuje najczęstszy scenariusz utraty pieniędzy: jeden skradziony lub przejęty klucz, przez który saldo exchangera znika bez możliwości odzyskania. Dla biznesu przechowującego środki klientów to nie opcja, tylko podstawowa higiena.
Jeśli uruchamiacie własny exchanger i projektujecie infrastrukturę przechowywania od zera, iEXWallet daje gotowy portfel dla exchangera bez prowizji dla pośrednika — z architekturą zaprojektowaną pod realne wolumeny, a nie pod wersję demo.
