Холодний гаманець для обмінника — це не данина моді на «холодне зберігання», а питання виживання бізнесу. Якщо весь резерв клієнтів лежить в одному гарячому гаманці, злом єдиного API-ключа здатен обнулити обмінник за один вечір. Далі — практичний розбір: як розподілити кошти між гарячим, холодним і мультисиг-гаманцем, скільки тримати «під рукою», а що прибрати в офлайн, і яких помилок власники обмінників припускаються найчастіше.
Гарячий, холодний і мультисиг-гаманець: у чому різниця на практиці
Гарячий гаманець — це каса обмінника: гроші в ньому доступні цілодобово і автоматично йдуть клієнтам через API. Холодний — сейф у підсобці, ключі від якого взагалі не підключені до інтернету. Мультисиг — той самий сейф, але відкрити його можуть тільки двоє одночасно, кожен своїм ключем.
У кожного формату своя роль. Гарячий гаманець дає швидкість виплат, холодний — не дає зламу сервера перетворитися на злам усього резерву, а мультисиг — не дає жодному співробітнику вивести гроші наодинці.
Чому весь резерв в одному гаманці — погана ідея
Уявіть обмінник із 50 BTC на одному гарячому гаманці, підключеному до автовиплат. Фішинговий лист, підроблена сторінка входу — і оператор сам вводить ключі на клоні сайту. Через сорок хвилин гаманець порожній, а бізнес закритий.
Якщо резерви розділені, підсумок інший: зловмисник дістається лише до тієї частини, що фізично лежала в гарячому гаманці на момент атаки. Решта — в холодному сховищі, куди без фізичного доступу і другого підпису не дістатися.
Скільки тримати в гарячому гаманці, а скільки — в холодному
Універсальної цифри немає, але практика обмінників підказує орієнтир: 5-15% добового обороту в гарячому гаманці зазвичай вистачає, щоб закривати виплати в пікові години без затримок. Решту можна сміливо тримати офлайн.
- Чим вищий обсяг і швидкість виплат клієнтам — тим більшою має бути частка гарячого гаманця.
- Чим вищий репутаційний і юридичний ризик у разі крадіжки — тим менше повинно лежати «на видноті».
- Вночі та у вихідні, коли навантаження нижче, частину резерву можна вручну переводити в холодне сховище.
Мультисиг: коли він виправданий, а коли лише ускладнює
Мультисиг вирішує конкретну проблему — ризик одного співробітника з повним доступом. Якщо в команді двоє-троє партнерів, а резерв обчислюється сотнями тисяч доларів, схема 2-з-3 виправдана: жоден учасник не виведе кошти одноосібно.
А ось для соло-обмінника з обігом у кілька тисяч доларів на день мультисиг частіше додає тертя, ніж користі: кожне підтвердження — це очікування другого ключа, а другий ключ іноді просто тримає та сама людина на іншому пристрої. У такому разі апаратний холодний гаманець із чіткою процедурою доступу вирішує задачу простіше і дешевше.
Чек-лист перед вибором гаманця для обмінника
Перш ніж підключати гаманець до продакшену, варто пройтися коротким списком — він економить значно більше часу, ніж здається на старті.
- Чи підтримує гаманець усі мережі й токени, які реально потрібні обміннику, а не лише BTC і ETH.
- Чи є API для автовиплат із лімітами й гнучкими правилами підтвердження.
- Чи сумісний він з апаратними ключами на кшталт Ledger або Trezor для холодного контуру.
- Чи веде гаманець журнал операцій і чи надсилає сповіщення про виведення понад ліміт.
- Чи є зрозуміла процедура відновлення seed-фрази на випадок втрати пристрою.
Що гаманець не вирішує
Навіть найкращий гаманець не замінює внутрішню політику компанії. Мультисиг не врятує, якщо обидва ключі зберігаються в одному сейфі. Холодне зберігання не допоможе, якщо процедура доступу до нього ніде не записана і тримається в голові одного співробітника, який одного разу піде у відпустку — або з компанії.
Гаманець — це інструмент. Дисципліна в його використанні важить не менше за саму технологію.
Висновок
Розподіл резервів між гарячим, холодним і, за потреби, мультисиг-контуром — це не бюрократія, а страховка від одного скомпрометованого ключа. Для обмінника, який планує працювати не один сезон, це одна з найдешевших інвестицій у стійкість бізнесу.
Готове рішення для запуску і захисту резервів обмінника — платформа iEXWallet, власний гаманець без комісії посереднику.
