Холодний гаманець для обмінника — це спосіб зберігати приватні ключі так, щоб їх не можна було вкрасти дистанційно: апаратний пристрій, air-gapped комп'ютер, який ніколи не бачив мережі, або мультипідпис, де ключі фізично розкидані між людьми й носіями. Звучить як готове рішення всіх проблем. На практиці довкола холодного зберігання накопичилось стільки міфів, що власники обмінників регулярно ухвалюють неправильні рішення — і платять за це грошима або простоєм.
Що насправді ховається за терміном «холодне зберігання»
Під одним і тим самим словом ховаються зовсім різні схеми, і це варто прояснити першим. Звичайний hardware-гаманець за пару тисяч гривень, air-gapped ноутбук, який ніколи не підключався до мережі, і корпоративний HSM-модуль — усе це технічно «холодне зберігання». Але за надійністю, вартістю й зручністю вони відрізняються, як велосипед від вантажівки.
Невеликому обміннику зі скромним резервом вистачить пари апаратних гаманців і мультипідпису. Для майданчика з серйозними обсягами розмова вже про виділений HSM, регламент доступу й фізичну охорону. Змішування цих рівнів — джерело половини проблем, про які далі.
Міф 1: офлайн-гаманець захищає від усіх помилок
Не захищає. Офлайн-зберігання прибирає лише один конкретний ризик — віддалене зламування через інтернет. Людський фактор нікуди не дівається: неправильно записана сід-фраза, підписана не глядячи транзакція, загублений пристрій без резервної копії.
Показова ситуація: співробітник, якому доручили налаштувати холодний гаманець, для «надійності» сфотографував сід-фразу на телефон — а телефон синхронізувався з хмарою. Технічно ключі ніколи не торкались інтернету напряму. Практично вони витекли вже першого дня.
Міф 2: крипта в холодному гаманці «заморожена» й гальмує бізнес
Усе якраз навпаки — і саме так багато обмінників втрачають гроші на рівному місці, тримаючи забагато в гарячому гаманці «для швидкості». Розумна схема — це баланс: у гарячому гаманці лишається рівно стільки, скільки потрібно для розрахунків з клієнтами на найближчі години, а основний резерв лежить у холодному й поповнює гарячий за регламентом.
- Гарячий гаманець — буфер для поточних операцій, а не сховище резерву.
- Переказ із холодного в гарячий займає хвилини, якщо процедура відпрацьована заздалегідь.
- Різкі стрибки попиту закриваються швидкістю поповнення, а не розміром гарячого гаманця.
Обмінник, що тримає 80% резерву в гарячому гаманці заради «зручності», не працює швидше — він просто тримає більшу частину грошей під ризиком заради економії кількох хвилин на переказі.
Міф 3: одного сіда на весь резерв уже достатньо
Один набір ключів — це єдина точка відмови, і байдуже, наскільки надійно фізично захований папірець із сід-фразою. Загубив пристрій і бекап разом — втратив усе. Сфотографував сід-фразу в месенджер — результат той самий.
Мультипідпис працює як сейф із двома замками, які відкриваються різними ключами в різних людей: щоб підписати транзакцію, потрібно, скажімо, 2 підписи з 3 можливих. Втрата одного ключа не блокує доступ до грошей і не дає зловмиснику вивести кошти самотужки.
Як вибрати схему холодного зберігання під реальний масштаб
Універсальної відповіді немає — схема повинна рости разом з обмінником, а не випереджати його на три кроки.
Що варто врахувати
- Обсяг резерву і те, яку його частку реально потрібно тримати «гарячою».
- Скільки людей мають доступ до підпису — і що станеться, якщо один із них раптово недоступний.
- Швидкість поповнення гарячого гаманця в пікові години.
- Наявність письмового плану на випадок втрати пристрою чи компрометації одного з ключів.
- Журналювання й аудит операцій — хто, коли і навіщо підписував переказ.
Якщо на ці питання немає чіткої відповіді, схема зберігання — це не захист, а гарно оформлена випадковість.
Коли холодне зберігання — це зайве
Чесно: не кожному обміннику на старті потрібна повноцінна мультипідпис-схема з HSM. Якщо команда — двоє людей, а резерв скромний, складна схема з кількома тримачами ключів може створити більше ризику, ніж прибрати — просто через те, що ускладнює й без того тонкий процес, а «бас-фактор» (залежність від однієї відсутньої людини) нікуди не зникає, лише переноситься на залізо.
На старті часто розумніше взяти кероване рішення з зрозумілою відповідальністю і поступово нарощувати власну інфраструктуру зберігання в міру росту обороту — а не будувати одразу складну систему, яку нікому обслуговувати.
Часті помилки при переході на холодне зберігання
Навіть із правильною схемою на папері реальність псують деталі.
- Перший переказ одразу на велику суму — без тестової транзакції на пару доларів.
- Усі резервні копії сід-фрази зберігаються в одному місці (сейф у тому ж офісі, що й пристрій).
- Немає письмової процедури на випадок, якщо ключовий співробітник у відпустці, хворіє чи звільнився.
- Пристрій прошивається «як вийде» без звірки з офіційним джерелом і перевірки автентичності.
Кожна з цих помилок окремо рідко виглядає критичною. Разом вони перетворюють холодне зберігання із захисту на ризик, який просто рідше проявляється.
Висновок
Холодний гаманець — не чарівна кнопка «стало безпечно», а інструмент, який працює лише за продуманої схеми доступу, резервного копіювання й регламенту поповнення гарячого балансу. Розібратися в цих деталях самостійно й з нуля — завдання не на один вечір, особливо коли паралельно потрібно запускати сам обмінник. Для тих, хто будує власний обмінник і хоче закрити питання зберігання без імпровізації, у платформі iEXWallet вже закладена логіка зберігання без зайвої комісії посереднику.
