Мультипідписний гаманець вимагає підпису кількох ключів одразу, а не одного, перш ніж кошти підуть з рахунку. Для обмінника це не теорія з підручника, а конкретний захист: якщо ноутбук касира вкрали або пароль злили у фішинговому листі, зловмисник однаково не зможе вивести баланс самотужки.
Що відбувається, коли ключ лише один
Один приватний ключ — це одна людина, один пристрій, одна точка відмови. Уявіть невеликий обмінник, де весь баланс USDT лежить у гарячому гаманці, доступ до якого має лише технічний директор. Він їде у відпустку, телефон крадуть в аеропорту, а разом із ним — сід-фразу, сфотографовану «про всяк випадок» у нотатках. Далі сценарій передбачуваний: кошти йдуть одним переказом, і скасувати його не можна — блокчейн незворотний.
Саме так гроші втрачають найчастіше — і жодного «зламу блокчейну» тут немає, підвела звичайна гігієна зберігання ключа.
Як мультипідпис працює на практиці
Мультисиг задає правило: для переказу потрібно N підписів із M можливих ключів. Схема 2-з-3 — найпоширеніша: два ключі обов'язкові для будь-якої транзакції, третій тримають окремо як резервний. Загубився один ключ — операційка не стає, гаманець збирають із двох, що залишились, плюс резерв.
Технічно це або нативний мультисиг мережі (Bitcoin, деякі EVM-гаманці на кшталт Gnosis Safe), або MPC-схема, де ключ математично розділений на частини без єдиного файлу, який можна вкрасти цілком. Різниця відчутна на практиці для інженерів, але для клієнта обмінника не важлива — важливо, що жоден співробітник не може вивести баланс самотужки.
Яку схему підпису обрати
Універсального числа немає — схема залежить від розміру команди та обороту. Для невеликого обмінника з двома-трьома операторами розумний мінімум — 2-з-3: власник, технічний директор і ключ у холодному сховищі на форс-мажор. У більшої команди трапляється 3-з-5, де один ключ фізично лежить поза офісом, наприклад у банківській комірці.
- Ключі ніколи не зберігають в одному місці — одна пожежа чи обшук не має обнуляти доступ до всього одразу.
- Хоча б один ключ тримає людина, не залучена до щоденних операцій — це гальмує внутрішнє шахрайство.
- Гарячий гаманець для операційних виплат варто тримати окремо від мультисиг-сховища з основним балансом, обмежуючи суму, доступну для швидкого виведення.
Помилки, що зводять мультисиг до формальності
Мультисиг не рятує, якщо всі ключі фактично в руках однієї людини — а так буває частіше, ніж здається. Директор налаштовує схему 2-з-3 «для порядку», але паролі від двох пристроїв тримає в одному менеджері паролів зі своїм майстер-ключем. Формально — мультипідпис, по суті — один ключ у гарній обгортці.
Друга поширена помилка — резервний ключ, який ніхто не тестував. Він лежить у сейфі три роки, а коли доходить до відновлення, з'ясовується, що сід-фраза записана не повністю або пристрій не вмикається. Резервний доступ варто перевіряти хоча б раз на рік, бажано на тестовій сумі.
Мультисиг чи MPC-гаманець від провайдера
Класичний мультисиг дає повний контроль, але вимагає, щоб команда сама розбиралася в керуванні ключами — це час і дисципліна. Готове MPC-рішення знімає частину операційного навантаження, але додає залежність від провайдера: якщо його сервіс ляже, виведення коштів може встати разом із ним.
Для обмінника, який уже вбудовує гаманець у свій продукт для клієнтів, а не лише захищає власний баланс, розумніше дивитися на рішення, спроєктовані саме під такий сценарій — із поділом гарячого й холодного контуру та без єдиної точки відмови у посередника.
Висновок
Мультипідписний гаманець не захистить від усіх ризиків — фішинг, соціальну інженерію та внутрішню змову він не скасовує. Але він прибирає найчастіший сценарій втрати грошей: один вкрадений або скомпрометований ключ, через який баланс обмінника йде без можливості повернути. Для бізнесу, що тримає кошти клієнтів, це не опція, а базова гігієна.
Якщо ви запускаєте власний обмінник і плануєте інфраструктуру зберігання з нуля, платформа iEXWallet дає готовий гаманець для обмінника без комісії посереднику — з архітектурою, розрахованою на реальні обсяги, а не на демо-стенд.
