Любой протокол имеет административные функции. Обновление контракта, смена параметров риска, перевод казначейства — всё это кто-то может сделать. Вопрос в другом. Сколько человек для этого нужно и сколько времени пройдёт между решением и исполнением.

Путь административного действия до исполнения предложение подписи 4 из 7 таймлок 24–72 ч исполнение окно на выход средств нулевой таймлок убирает единственное окно, в котором можно заметить чужое действие

Задержка — единственное окно, в котором можно заметить чужое действие.

Что считается рабочей конфигурацией

Разбор эксплойтов 2026 года описывает стандарт прямо: кошелёк мультиподписи требует минимум установленного числа независимых подписантов, обычно 3 из 5 или 4 из 7, а контракт таймлока добавляет обязательную задержку в 24–72 часа перед вступлением в силу административных действий вроде обновления контрактов или перевода казначейства. Источник

Что говорит за такую схему

  • Компрометация одного ключа не даёт контроля.
  • Задержка даёт сообществу время заметить и отреагировать.
  • Действия публичны: предложение видно в цепочке до исполнения.
  • Появляется окно, чтобы вывести средства до вступления изменений в силу.

Что говорит против

Мешает она и защитникам. При активной атаке остановить протокол мгновенно нельзя.

  • Нужен отдельный механизм экстренной паузы.
  • Он сам становится точкой концентрации полномочий.
  • Круг замкнулся: защита от одного риска создаёт другой.
Формальное наличие мультиподписи ничего не гарантирует. Пять подписантов из одной команды, сидящих в одном офисе и общающихся в одном мессенджере, — это один подписант с точки зрения атакующего. Проверять нужно независимость, а не количество.

Что показал апрель 2026 года

Разбор IOSG фиксирует неудобный факт: при совокупных потерях свыше 625 млн долларов в апреле 2026 года смарт-контракты пострадавших протоколов уязвимостей не содержали, а код Drift прошёл аудиты Trail of Bits в 2022 году и ClawSecure в феврале 2026-го — но ни один из них не покрывал конфигурацию мультиподписи и поверхность социальной инженерии вокруг совета безопасности. Источник

Отдельная деталь в разборе выглядит почти хрестоматийно: решение перейти на мультиподпись с нулевым таймлоком было принято за шесть дней до инцидента и убрало последнее окно обнаружения. Источник

Шесть дней. Именно столько отделяло решение об удобстве от потери средств.

Мой порядок проверки: найти адрес мультиподписи в обозревателе, посмотреть число подписантов и историю их транзакций, проверить наличие таймлока и его длительность, а затем убедиться, что задержка не менялась в последние месяцы. Изменение параметров управления — сигнал сам по себе.

Вывод

Мультиподпись и таймлок остаются лучшей доступной защитой от злоупотребления административными правами. Но защищают они только от сценариев внутри цепочки, а компрометация людей происходит вне её. Смежные темы: аудиты и роль куратора.

Частые вопросы

Какая длительность таймлока достаточна?

Практический минимум — 24 часа, комфортный уровень — 48–72. Меньше суток не даёт времени заметить изменение, больше недели делает управление неработоспособным.

Где посмотреть настройки конкретного протокола?

В документации и в обозревателе блоков по адресу административного контракта. Если найти эту информацию не удаётся за 15 минут, это уже ответ на вопрос о прозрачности.

Бывают ли протоколы вообще без административных прав?

Бывают: неизменяемые контракты без возможности обновления. Плата за это — невозможность исправить ошибку, и такой выбор подходит только для простой и давно отработанной логики.