Холодний резерв обмінника — це крипта, яка лежить офлайн і не бере участі в щоденній роботі. Питання не в тому, чи він потрібен — потрібен. Питання — скільки туди класти і як часто звідти брати, щоб помилка одного підписанта не поклала весь бізнес. Коротка відповідь нижче, далі — цифри й процедура.
Навіщо два гаманці, а не один
Два гаманці потрібні, щоб один інцидент не обвалив увесь бізнес. Гарячий гаманець обслуговує виплати в реальному часі, цілодобово — зручно, але вразливо, якщо зламають сервер. Холодний лежить офлайн, недосяжний для віддаленого зловмисника, хоча вивести з нього кошти швидко не вийде.
Уявіть обмінник, який тримає все на гарячому заради швидкості: один витік API-ключа — і баланс зникає за хвилини. З холодним резервом зловмисник у кращому разі дістане операційну частку, а не весь бізнес.
Скільки в холод, скільки залишити в гарячому
Робоче правило: на гарячому гаманці тримати обсяг, що покриває 1-3 дні типових виплат, решту — виводити в холод.
- середній добовий обсяг виплат
- пікові дні — стрибки курсу, акції
- швидкість поповнення гарячого з холодного
- запас на затримки мережі
Помилитеся із цим співвідношенням в будь-яку сторону — або лишитеся вразливими, або клієнти чекатимуть на виведення.
Hardware, мультисиг чи MPC — що обрати для холоду
Кожен варіант по-своєму обмінює зручність на стійкість. Один апаратний гаманець дешевий і простий, але це єдина точка відмови, якщо той пристрій чи підписант недоступний або скомпрометований. Мультисиг (наприклад, 2 з 3) переживає компрометацію одного ключа, але координація кількох підписантів сповільнює кожен переказ. MPC підписує, не збираючи єдиний ключ в одному місці — швидше за мультисиг, але тут ви довіряєте безпеці самого постачальника технології.
Жоден варіант не знімає людський ризик: якщо троє підписантів мультисигу сидять в одному кабінеті й підписують за першим проханням, це мультисиг на папері, а не на практиці.
Регламент ротації: хто підписує і як часто
Ротація резерву — не одноразове налаштування, а процес із датами й ролями.
- хто ініціює переказ із холодного в гарячий
- щонайменше два незалежні підписанти
- вікно підписання — робочі години, а не третя ночі
- журнал кожної операції: сума, причина, хто затвердив
Один обмінник, який ми знаємо, переказував резерв щочетверга незалежно від попиту — і пройшов рік різких стрибків курсу без жодної паніки, бо гарячий баланс оновлювався за передбачуваним графіком.
Часті помилки в організації резерву
- Тримати забагато на гарячому «для швидкості» — очевидна мішень для будь-кого.
- Довіряти холодний гаманець одній людині без запасного підписанта.
- Ніколи не перевіряти відновлення сід-фрази — бекап є, але ніхто не перевіряв, що він справді відновлюється.
- Зберігати ключі всіх підписантів в одному фізичному місці — пожежа чи крадіжка вирішують усе одним махом.
- Ротувати «як настрій», без фіксованого графіка.
Висновок
Холодний резерв — не сейф, який відкривають один раз і забувають. Це процедура: скільки, хто, коли і за яких умов. Немає процедури — рано чи пізно її напише паніка. Для тих, хто запускає власний обмінник і не хоче збирати схему зберігання з того, що під рукою, є готовий гаманець із вбудованою логікою резервів — iEXWallet — без комісії посереднику й без розробки з нуля.
