Корпоративный кошелёк с подписями

Корпоративный кошелёк с несколькими подписями решает не техническую задачу, а организационную: он превращает распоряжение средствами из личного решения одного человека в процедуру. Технически всё несложно: для перевода нужно несколько подтверждений вместо одного. Сложное начинается там, где надо решить, у кого эти подтверждения, что делать при уходе сотрудника и как всё это выглядит в документах компании.

Содержание статьи

Как это устроено

Кошелёк управляется набором ключей.

Схема записывается двумя числами: сколько подписей нужно из скольких возможных. Три из пяти означает, что ключей всего пять, а для перевода достаточно любых трёх, и утрата сразу двух ключей при этом всю работу не блокирует.

Правила заданы смарт-контрактом и видны всем участникам сети, а изменить их можно только тем же самым порядком, каким проводится обычная операция, то есть набором подписей.

Порог подписей — число нужных подтверждений. Выбирают его между двумя рисками: слишком низкий порог возвращает нас к ситуации, когда сговор двоих или компрометация пары устройств открывает доступ к средствам, а слишком высокий парализует работу при отпуске, болезни или увольнении держателя ключа. Схемы три из пяти и два из трёх распространены именно потому, что дают запас в обе стороны.

Кому давать ключи

Распределите ключи между людьми с разными ролями, а не строго по вертикали.
Не давайте два ключа одному человеку, даже на время отпуска коллеги.
Держите ключи на разных типах устройств и в физически разных местах.
Включите в схему резервный ключ на случай недоступности участника.
Зафиксируйте письменно, у кого какой ключ и каким образом он хранится.
Пропишите порядок замены ключа при уходе сотрудника из компании.

Первый пункт нарушают чаще прочих. Когда все ключи оказываются у руководителя и его заместителя, схема формально остаётся многоподписной, а по существу превращается в самый обычный кошелёк с одним дополнительным шагом.

Ключевой организационный риск: уход сотрудника с ключом. Технически ключ отозвать нельзя. Можно лишь изменить состав подписантов, а для этого нужен набор подписей действующих участников схемы. Если ушедший держал ключ, без которого порог недостижим, вы в тупике. Порядок замены прописывают до первого перевода средств, а вовсе не после первого увольнения, и держат в схеме запас: ключей должно быть больше порога минимум на два.

Как выбрать схему

Выбор сводится к двум числам.

Порог определяет защиту: два подтверждения защищают хуже трёх, но и работают быстрее. Общее число ключей отвечает уже за устойчивость, и чем больше у вас запас сверх порога, тем спокойнее вы переживёте отпуск, болезнь или увольнение любого держателя.

Разумные ориентиры такие. Для команды из трёх-четырёх человек подходит два из трёх, для более крупной — три из пяти. Схемы с порогом выше трёх встречаются редко, потому что согласование начинает мешать работе.

И нюанс про чётные числа. Схема два из четырёх выглядит вполне логично, а на деле избыточна: защита ровно та же, что у схемы два из трёх, зато держателей на одного больше.

Что решает такая схема

Риск	Как закрывается
Единственный человек распоряжается всеми средствами	Требуется несколько независимых подтверждений
Компрометация одного из устройств	Одной подписи недостаточно
Потеря ключа	Порог достигается оставшимися ключами
Ошибочный перевод	Вторая пара глаз проверяет реквизиты
Давление на одного из сотрудников	Одной подписи мало для перевода

Четвёртая строка недооценена. Обязательная проверка адреса вторым человеком отсеивает опечатки и подмену реквизитов лучше любой технической меры.

Чего схема не решает

Границы стоит понимать до внедрения.

Она не защищает от сговора участников, если их число достигает установленного порога подписей. Не спасает она и от подписи вредоносной операции, когда все подписанты оказываются одинаково невнимательны. И не заменяет учёта. Кто и что подписал, видно в сети, а зачем — только в ваших документах.

Отдельно про скорость. Каждая операция требует нескольких последовательных действий от разных людей, и срочный перевод в выходной день превращается в отдельную задачу по срочному поиску коллег.

Что определить до создания кошелька. Схему: сколько подписей из скольких ключей. Держателей и их роли в компании. Регламент согласования. Порядок замены ключа. И лимиты по суммам.

Третий пункт важнее технической части. Регламент отвечает на вопрос, что именно проверяет второй подписант перед подтверждением операции, — без этого он лишь нажимает кнопку следом за первым.

Кто и что проверяет перед подписью

Без ответа на этот вопрос вторая подпись превращается в формальность.

Инициатор готовит операцию и прикладывает основание: договор, счёт или заявку.
Первый подписант сверяет адрес получателя с документом строго посимвольно.
Второй подписант проверяет сумму, сеть и остаток лимита.
Оба смотрят, что подписывают именно перевод, а не выдачу разрешения.
При любом расхождении операция отклоняется, а не уточняется в чате.
После проведения инициатор фиксирует хеш операции в учёте.

Пятый пункт ключевой. Уточнение реквизитов в переписке — самый распространённый способ подмены адреса получателя, и правило отклонять операцию целиком закрывает весь этот сценарий. Порядок отзыва разрешений разобран отдельно.

Документальная сторона

Здесь начинается специфика.

Операции компании требуют оформления. Отсюда вывод. К каждой операции нужен внутренний документ: основание, контрагент, сумма, кто согласовал.

Отдельный вопрос — учёт самого актива. Цифровая валюта на балансе организации имеет свои правила признания и оценки, и решать этот вопрос стоит с бухгалтером до первого поступления средств, а вовсе не в конце квартала. Требования к идентификации клиента на площадке разобраны отдельно. Порядок хранения документов по операциям разобран в отдельном материале.

Как запускать

Соберите схему на тестовой сети и проведите там пробную операцию.
Проверьте, что каждый держатель ключа умеет подписывать самостоятельно.
Отработайте сценарий недоступности одного из подписантов схемы.
Переведите небольшую сумму и пройдите полный цикл согласования.
Опишите регламент письменно и раздайте его всем участникам.
Только после этого переводите основные средства.

Отработка недоступности — главная проверка. Если при отсутствии одного человека операция встаёт, значит, порог выбран неверно или ключей мало.

Что зафиксировать в регламенте: схему подписей, список держателей с их ролями, порядок инициирования операции, что именно проверяет каждый подписант, сроки согласования, порядок замены ключа, действия при недоступности участника, лимиты по суммам. Восемь пунктов на страницу. Документ короткий, но именно он отличает работающую схему от набора ключей у нескольких человек.

Частые вопросы

Чем это отличается от пороговой подписи

Схема с несколькими подписями реализована в самом блокчейне: правила записаны в контракте и видны всем. Пороговая подпись собирается вне сети, и адрес выглядит обычным. Для компании первый вариант обычно удобнее — прозрачность правил здесь достоинство, а не недостаток.

Что делать, если держатель ключа недоступен

Ничего экстренного, если схема выбрана правильно: порог должен достигаться без него. Если же операция встала, это сигнал пересмотреть конфигурацию, а не искать обходные пути. Именно поэтому сценарий недоступности отрабатывают на пробных суммах до запуска.

Подходит ли такая схема небольшой команде

Да, начиная примерно с трёх человек, готовых отвечать за подпись. Для двоих схема вырождается: два из двух блокирует работу при отсутствии одного, а один из двух не даёт защиты вовсе. При двух участниках разумнее третий ключ у доверенного лица вне операционной работы.

Типичные ошибки при внедрении

Все ключи хранятся на устройствах одного производителя и одной модели.
Резервные копии всех ключей лежат в одном облачном хранилище.
Порог равен общему числу ключей: потеря одного парализует работу.
Регламент не написан, и второй подписант нажимает кнопку следом за первым.
Держатели не проверяли, умеют ли они подписывать самостоятельно.
Схема настроена, но крупные суммы всё равно идут мимо неё.

Последняя строка обесценивает всю работу. Кошелёк создан, регламент написан, а срочные платежи всё равно проводятся с личного адреса руководителя, потому что так быстрее. Помогает одно правило. Сумма выше оговорённой проходит только через схему.

Вторая строка тоже коварна. Резервные копии в одном месте превращают несколько ключей в один: компрометация хранилища открывает доступ ко всей схеме сразу. Как разделять хранение по уровням риска, разобрано в отдельном материале.

Когда схема не нужна

Подходит она не всем.

При суммах, потеря которых не критична для бизнеса, издержки на согласование перевесят выгоду: каждая операция станет заметно медленнее, а защиты добавится немного.

При единственном ответственном схема вырождается. Второй ключ у того же самого лица не даёт ничего, а второй ключ у стороннего человека без понимания процессов создаёт риск вместо защиты.

И при разовых операциях раз в квартал городить регламент не стоит: достаточно обычного кошелька с надёжным хранением фразы и понятного порядка на случай недоступности владельца.

Что делать при смене состава

Состав держателей меняется чаще, чем кажется при запуске, и порядок тут важнее скорости.

Сначала действующие участники набирают подписи для изменения конфигурации: добавляют новый ключ или исключают старый. Операция такая же, как перевод.

Дальше проверка. Новый держатель подписывает пробную операцию на минимальную сумму, чтобы убедиться, что его ключ работает и он умеет им пользоваться.

И только потом обновляется регламент: список держателей, роли, контакты. Документ без актуального состава оказывается бесполезен ровно в тот момент, когда он нужнее всего, — при срочной операции или же при недоступности кого-то из участников.

Коротко

Многоподписный кошелёк превращает распоряжение средствами компании в понятную процедуру, а не в единоличное решение одного человека. Порог выбирают между двумя рисками. Ключи распределяют по разным ролям. Их должно быть больше порога минимум на два, а порядок замены при уходе сотрудника прописывают заранее. Схема не заменяет регламент.