Мультисиг-гаманець для обмінника — це не примха параноїка з відділу безпеки, а страховка від однієї-єдиної ночі, яка може закрити бізнес. На балансі майже кожного працюючого обмінника лежать десятки, а то й сотні тисяч доларів у криптовалюті — і питання вже давно не в тому, чи спробують колись зламати гарячий гаманець. Питання в тому, скільки ви втратите, коли це станеться, і чи є в резерву запасний план.
Три види гаманця: що є що і навіщо це обміннику
Гарячий гаманець підключений до мережі й платить миттєво. Холодний лежить offline і фізично недосяжний для віддаленого злому. Мультисиг — це не окреме «місце», а правило: переказ проходить, лише якщо його підписали кілька ключів одночасно, а не один співробітник з одним паролем.
Для приватного власника крипти це питання зручності. Для обмінника — питання того, як влаштована каса. Уявіть звичайний обмінний пункт: частина готівки лежить у касі для розрахунків із клієнтами тут і зараз, основна сума — у сейфі, який поодинці не відкрити. Крипто-інфраструктура працює за тією ж логікою, тільки сейф називається мультисиг.
Гарячий гаманець: робоча конячка з постійним ризиком
Без гарячого гаманця обмінник просто не може закривати угоди в реальному часі — клієнт чекає секунди, а не години на підтвердження з офлайн-сховища. Але те саме підключення до мережі, яке дає швидкість, робить гаманець потенційною ціллю: фішинг співробітника, скомпрометований ноутбук, вразливість у софті — і гроші йдуть за одну транзакцію.
Практичний орієнтир, яким користуються багато операторів: у гарячому гаманці тримають суму, зіставну з оборотом одного-двох днів, — не більше того, що можна спокійно списати в найгіршому сценарії. Усе, що перевищує цей поріг, логічно переводити в холодний контур на регулярній основі, а не раз на квартал, коли хтось згадає.
Холодне зберігання і мультисиг: резерв, який не вкрадеш поодинці
Холодний гаманець знімає ризик віддаленого злому, але додає свій: якщо єдина людина з доступом до сід-фрази захворіє, звільниться чи загубить ноутбук із ключем, резерв може виявитися заблокованим так само надійно, як і захищеним. Мультисиг вирішує саме цю проблему.
Стандартна схема — «2 з 3» або «3 з 5»: ключі зберігаються у різних людей або в різних фізичних місцях, а для підпису транзакції потрібно зібрати кворум. Втратити один ключ — не катастрофа, схема продовжує працювати. Вкрасти гроші поодинці — теж не вийде, навіть якщо скомпрометований один із власників ключа.
- Ключі фізично розведені — не в одному офісі й не в одному хмарному акаунті
- Жоден співробітник не тримає кворум ключів одноосібно
- Поріг підпису (M з N) зафіксований письмово і не змінюється в ручному режимі
Як вибудувати багаторівневу схему зберігання
Робоча модель зазвичай складається не з двох рівнів, а з трьох. Перший — гарячий гаманець для поточних розрахунків. Другий — «теплий» буфер із трохи суворішим доступом, куди переводиться залишок наприкінці операційного дня. Третій — холодний мультисиг-резерв, до якого звертаються рідко і за чітким регламентом.
Деталь, яку часто упускають: переказ між рівнями має відбуватися за розкладом, а не за настроєм відповідального. Обмінник, який переносить надлишки в холодний контур щовечора за чек-листом, трохи втрачає у зручності, але виграє в передбачуваності — а передбачуваність і є те, що рятує від паніки в момент інциденту.
Типові помилки при переході на мультисиг
Саме слово «мультисиг» не захищає від дурниць в організації процесу. Найпоширеніша помилка — одна й та сама людина тримає два ключі з трьох «для зручності», і схема 2-з-3 фактично перетворюється на гаманець з одним власником.
- Усі ключі зберігаються в одному офісі або на одному пристрої
- Процедуру відновлення доступу жодного разу не перевіряли на практиці
- Немає письмового протоколу на випадок втрати ключа чи звільнення співробітника
- Пороги зберігання не переглядалися з ростом обороту обмінника
Кожна з цих помилок окремо звучить як дрібниця. Разом вони перетворюють мультисиг на театр безпеки, який виглядає надійно на схемі й підводить у реальній ситуації.
Висновок
Універсальної пропорції між гарячим, теплим і холодним контуром не існує — вона залежить від обороту, кількості операторів і апетиту до ризику конкретного бізнесу. Але сам принцип поділу й розподіленого контролю ключів працює майже завжди, і перехід на нього того вартий. Запустити обмінник із вбудованим власним гаманцем, без комісії посереднику і з контролем над схемою зберігання з першого дня можна на платформі iEXWallet.
