加密兑换平台的冷储备,指的是离线存放、日常运营根本碰不到的那部分资产。问题不是要不要留——必须留。真正要想清楚的是:留多少、多久动一次,才不会因为一个签名人的失误就让生意翻车。先说结论,后面是具体数字和流程。
为什么要两个钱包,不是一个
两个钱包并存,是为了不让一次事故拖垮整盘生意。热钱包负责全天候的实时出款,方便,但服务器一旦被攻破就很危险。冷钱包离线存放,远程黑客摸不到,只是真要用钱时没那么快。
设想一家兑换平台图省事把所有资产都放在热钱包——一个泄露的API密钥,几分钟账户就清零。有冷储备兜底,攻击者顶多拿到日常周转的那一小部分,动不了根本。
冷热各留多少
一个实用的比例:热钱包只留够1到3天正常出款量的资产,剩下的全部转入冷储备。
- 日均出款量
- 高峰时段——汇率剧烈波动、促销期
- 从冷钱包补充热钱包的速度
- 应对网络延迟的缓冲
这个比例留多了会一直暴露风险,留少了客户提现就要排队等。
硬件钱包、多签还是MPC,怎么选冷储备方案
三种方案各有取舍。单个硬件钱包便宜又简单,但那一个设备或签名人一旦失联或被攻破,整套方案就塌了。多签(比如2/3签名)能扛住一个密钥被攻破,代价是每次转账都要协调几个人,速度会慢下来。MPC不需要把一整把密钥凑到一起就能签名,速度比多签快,但你实际上是把信任交给了技术供应商本身。
这几种方案都解决不了人的问题——如果三个多签签名人坐在同一间办公室,叫一声就都签了,那多签只是写在纸面上。
轮换流程:谁来签、多久一次
冷储备的轮换不是设置一次就完事,而是一套带日期和角色分工的流程。
- 谁来发起冷转热的操作
- 至少两个相互独立的签名人
- 固定的签名时段——工作时间,不是凌晨三点
- 每一笔都记录:金额、原因、审批人
我们见过一家兑换平台,不管需求高低,每周四固定转一次储备——一年下来汇率剧烈波动好几次,热钱包余额始终按计划补上,没出现过一次手忙脚乱。
储备管理中常见的坑
- 图快把太多资产留在热钱包——等于主动给攻击者立了个靶子。
- 冷钱包只交给一个人管,没有备用签名人。
- 种子短语从没做过恢复测试——备份是有,但没人验证过真能恢复。
- 所有签名人的密钥都放在同一个物理地点——一场火灾或盗窃就全砸进去。
- 轮换全凭心情,没有固定周期。
结论
冷储备不是开一次就能扔在一边的保险柜,它是一套流程——留多少、谁来管、什么时候动、在什么条件下动。流程不定,慌乱迟早会替你定一个。如果你正在搭建自己的兑换平台,不想东拼西凑一套托管方案,其实已经有钱包把储备逻辑内置好了——iEXWallet,不用给中间商抽成,也不用从零开发。
