Zimna rezerwa exchangera krypto to krypto, które leży offline i nie bierze udziału w codziennej pracy. Pytanie nie brzmi, czy jest potrzebna — jest. Pytanie brzmi: ile tam trzymać i jak często po to sięgać, żeby błąd jednego sygnatariusza nie zatopił biznesu. Krótka odpowiedź poniżej, dalej liczby i procedura.
Dlaczego potrzebne są dwa portfele, a nie jeden
Dwa portfele istnieją, żeby jeden incydent nie zmiótł całego biznesu. Gorący portfel obsługuje wypłaty na żywo, całą dobę — wygodnie, ale ryzykownie, jeśli serwer zostanie złamany. Zimny leży offline, poza zasięgiem zdalnego atakującego, choć wypłata z niego środków zajmuje realny czas.
Wyobraź sobie exchangera, który dla szybkości trzyma wszystko na gorąco: jeden wyciek klucza API i saldo znika w kilka minut. Z zimną rezerwą atakujący w najlepszym razie zdobywa część operacyjną, nie cały biznes.
Ile zimnego, ile gorącego
Działająca zasada: na gorącym portfelu trzymać wolumen pokrywający 1-3 dni typowych wypłat, resztę przenosić do zimnej rezerwy.
- średni dobowy wolumen wypłat
- dni szczytowe — skoki kursu, promocje
- szybkość zasilania gorącego z zimnego
- bufor na opóźnienia sieci
Pomylić się w tej proporcji w którąkolwiek stronę oznacza albo stałą ekspozycję, albo klientów czekających na wypłaty.
Hardware, multisig czy MPC — jak wybrać zimną rezerwę
Każda opcja inaczej zamienia wygodę na odporność. Jeden hardware wallet jest tani i prosty, ale to pojedynczy punkt awarii, jeśli dane urządzenie albo sygnatariusz jest niedostępny lub skompromitowany. Multisig (np. 2 z 3) przetrwa złamanie jednego klucza, ale koordynacja kilku sygnatariuszy zwalnia każdy transfer. MPC podpisuje bez składania jednego klucza w jednym miejscu — szybciej niż multisig, ale wtedy ufasz bezpieczeństwu samego dostawcy technologii.
Żadna z tych opcji nie usuwa czynnika ludzkiego: jeśli trzej sygnatariusze multisig siedzą w jednym biurze i podpisują na pierwszą prośbę, to multisig na papierze, nie w praktyce.
Harmonogram rotacji: kto podpisuje i jak często
Rotacja rezerwy to nie jednorazowa konfiguracja, a proces z datami i przypisanymi rolami.
- kto inicjuje transfer z zimnego do gorącego
- przynajmniej dwóch niezależnych sygnatariuszy
- okno podpisywania — godziny pracy, nie trzecia w nocy
- dziennik każdej operacji: kwota, powód, kto zatwierdził
Jeden znany nam exchanger przenosił rezerwę co czwartek, niezależnie od popytu — i przeszedł rok ostrych skoków kursu bez jednej paniki, bo gorące saldo odnawiało się według przewidywalnego grafiku.
Częste błędy w organizacji rezerwy
- Trzymanie zbyt dużo na gorąco „dla szybkości” — oczywisty cel dla każdego.
- Powierzenie zimnego portfela jednej osobie, bez zapasowego sygnatariusza.
- Nigdy nieprzetestowane odzyskiwanie seed phrase — backup istnieje, ale nikt nie sprawdził, czy faktycznie działa.
- Przechowywanie kluczy wszystkich sygnatariuszy w jednym miejscu fizycznym — pożar albo kradzież rozstrzyga wszystko jednym ruchem.
- Rotacja „jak wyjdzie”, bez ustalonego grafiku.
Podsumowanie
Zimna rezerwa to nie sejf, który otwiera się raz i zapomina o nim. To procedura — ile, kto, kiedy, na jakich warunkach. Bez procedury wcześniej czy później napisze ją panika. Dla tych, kto startuje z własnym exchangerem i nie chce składać custody z przypadkowych elementów, istnieje już portfel z wbudowaną logiką rezerw — iEXWallet — bez prowizji dla pośrednika i bez budowania od zera.
