Мультиподпись решает три задачи разом. Ни один сотрудник не уведёт средства единолично. Увольнение подписанта не парализует казну. Потеря одного ключа не означает потерю денег. Схема «2 из 3» закрывает всё это и живёт без отдельного человека в штате.

Разбираю конфигурацию.

Кто держит ключи

Три ключа. Три типа хранения. Три локации. Никаких исключений.

Первый: Ledger у собственника, дома в сейфе, цена вопроса $150. Второй: Trezor Model T у финдиректора или второго учредителя, в офисе. Третий: резервный, лежит отдельно и в обычной жизни не трогается.

Резервный можно доверить внешнему кастодиану или положить в банковскую ячейку — важно лишь то, чтобы он физически не оказался в одном помещении с двумя первыми, иначе вся конструкция сводится к одной точке отказа, которую вы старательно строили три недели.

Схема 2 из 3 транзакция собственник финдиректор резервный в ячейке Подписи любых двух ключей достаточно, третий включается при утрате одного из первых.

Что прописать в регламенте

Документ на одну страницу.

Он важнее технологии: за 4 года консультаций я не видела ни одной аварии из-за криптографии Safe и видела с десяток из-за того, что никто не записал, кто именно вправе инициировать перевод.

Кто инициирует транзакцию и на каком основании. Всего 4 пункта. Какая сумма проходит двумя подписями: я ставлю порог в $10 000, выше него — отдельное решение. Срок ответа второго подписанта: у нас это 24 часа. Порядок замены подписанта при увольнении в течение 48 часов — с обязательной ротацией всего набора, а не одного уходящего ключа.

И отдельным пунктом: что происходит, если подписант недоступен дольше 7 дней.

Про ротацию скажу подробнее, потому что этот пункт пропускают чаще всего. Уволенный сотрудник со старым ключом формально уже не имеет доступа — набор изменён. Если вы поменяли только его ключ, а два оставшихся не трогали, человек с копией чужого ключа сохраняет половину кворума. Меняйте всё.

Где это живёт технически

Стандарт де-факто — Safe, бывший Gnosis Safe.

Контракт развёрнут в основной сети и на всех крупных роллапах: интерфейс поддерживает Ledger, Trezor, подпись с телефона и просмотр очереди транзакций, а сам контракт с 2018 года держит крупнейшие казны DAO в отрасли. Комиссия выше обычной: подписей несколько. На Base с медианой $0,02 и Arbitrum с $0,08 разница почти не чувствуется, на первом уровне — вполне.

Альтернатива — пороговые подписи MPC, где кворум собирается вне сети и в блокчейн уходит одна подпись. Конструкция изящная. Малому бизнесу не советую: сложнее в эксплуатации и хуже проверяется аудитором.

Частые вопросы

Почему именно 2 из 3, а не 3 из 5

Три подписанта — минимальная конфигурация, в которой утрата одного ключа не блокирует доступ к средствам, а компрометация одного ключа не даёт злоумышленнику кворум, и обе эти гарантии вы получаете одновременно, не усложняя ежедневную работу. Схема 3 из 5 имеет смысл в компании с несколькими независимыми центрами решений.

Можно ли использовать мультисиг вместе с кастодианом

Да, и это распространённая схема: 2 ключа у компании, третий у квалифицированного кастодиана как резервный, что удобно для компаний, которым инвестор договором предписал квалифицированное хранение части активов. Проверьте в договоре, при каких условиях кастодиан подписывает и в какие сроки — обычно это 24–72 часа.

Что делать при потере одного из ключей

Собрать транзакцию двумя оставшимися ключами и перевести средства на новый Safe с новым набором подписантов. Откладывать нельзя. Пока схема на пределе кворума, потеря второго ключа означает потерю доступа окончательно.

Почему контроль над ключами я ставлю выше удобства, объясняла в тексте Почему Self-Custody важнее, чем когда-либо, а карту инфраструктуры собирала в материале Экосистема Ethereum: больше, чем блокчейн.