Мультиподпись: хранение и наследование

Любопытство

1. Почему потеря ключа и его резервной копии означает конец для кошелька с одной подписью, а мультиподписной кошелёк может пережить такую потерю?
2. Как кастодиан может хранить один ключ, чтобы помогать с восстановлением, в то время как владелец сохраняет фактический контроль над средствами?
3. Какие именно данные, помимо самих сид-фраз, нужны для восстановления мультиподписного кошелька, если все устройства потеряны?

Исследование

Часть IХранение с мультиподписью

1. Стандартный кошелёк с одной подписью опирается на один приватный ключ. Если этот ключ украдут, вор сможет забрать всё; если ключ и все его резервные копии будут потеряны, монеты пропадут. Один секрет — это единая точка отказа. Мультиподписные схемы распределяют этот риск, требуя для авторизации любой транзакции нескольких разных ключей.
2. В распространённой конфигурации 2 из 3 три приватных ключа создаются на отдельных устройствах, часто от разных производителей, и хранятся в разных физических местах. Любые два из этих ключей могут совместно подписать транзакцию. Если одно устройство потеряно или украдено, оставшиеся два по-прежнему контролируют средства, а один украденный ключ сам по себе не может их переместить.
3. Совместное хранение (collaborative custody) формализует такое распределение для организаций и состоятельных частных лиц. Кастодиан хранит один ключ, чтобы предоставлять услуги восстановления и операционную поддержку, а владелец сохраняет два ключа. Такая структура позволяет получать профессиональную помощь, не уступая одностороннего контроля: если кастодиан выйдет из строя или будет скомпрометирован, двух ключей владельца по-прежнему достаточно для перемещения активов.
4. Для восстановления после полной потери устройств одних сид-фраз недостаточно. Для воссоздания адресов необходима конфигурация кошелька — а именно расширенные публичные ключи (xpub) всех совместных подписантов и тип скрипта. Без этих метаданных одни лишь сиды не позволяют сгенерировать правильные адреса для получения средств. Для восстановления нужны эти xpub или дескриптор выходов (output descriptor), поэтому их необходимо резервировать вместе с сидами.
5. Обратная сторона — сложность и стоимость. Управление тремя ключами увеличивает операционную нагрузку при повседневном использовании и планировании наследования. Транзакции с более крупными скриптами занимают больше байтов в блокчейне, что приводит к более высоким сетевым комиссиям по сравнению с транзакциями с одной подписью. Taproot может снизить эти издержки, если ключи агрегируются с помощью протоколов вроде MuSig2: тогда совместная трата выглядит как одна подпись. Однако большинство мультиподписных кошельков по-прежнему используют скриптовый P2WSH, а операционная сложность никуда не исчезает.
6. Мультиподпись не гарантирует защиты от всех рисков. При взломе Bitfinex в 2016 году было украдено около 120 000 BTC из мультиподписной схемы с участием BitGo. Bitfinex держал два ключа из трёх, а сервис BitGo автоматически ставил вторую подпись в соответствии с настройками Bitfinex, поэтому злоумышленник, проникший в системы Bitfinex, мог набрать нужный порог подписей. Около 94 000 BTC удалось вернуть в 2022 году. Мультиподпись защищает ровно настолько, насколько независимы её ключи.

Часть IIПланирование наследования

7. Хранение биткоина сопряжено с фундаментальным противоречием: секретность, необходимая для защиты средств от кражи, делает их восстановление невозможным для наследников. Если держатель ключа умирает или становится недееспособным, не передав сведения о доступе, эти сатоши потеряны навсегда. Это не теория — именно поэтому при управлении цифровыми активами и планируют их «сохранность» (survivability). По оценкам аналитиков, миллионы монет утрачены из-за потерянных ключей по самым разным причинам, в том числе из-за смерти владельцев.
8. Скриптовый движок Bitcoin позволяет закодировать логику, срабатывающую при определённых условиях. Дескриптор Miniscript, например `wsh(or_d(pk(@0), and_v(v:multi(2,@1,@2,@3), older(65535))))`, задаёт кошелёк, в котором один ключ (`@0`) может тратить средства сразу, а любые два из трёх других ключей (`@1`, `@2`, `@3`) — после того как пройдёт 65 535 блоков. Ключ владельца может тратить в любой момент; путь наследников открывается только по истечении задержки. (Кошельки отображают такие политики с плейсхолдерами вроде @0 вместо ключей.)
9. Число 65 535 в этом скрипте обозначает конкретный срок. Примерно при десяти минутах на блок 65 535 блоков — максимум для относительного таймлока, отсчитываемого в блоках, — составляют около 455 дней. Это «наследственный замок». Поскольку таймлок относительный, отсчёт начинается с момента подтверждения монет, а не с момента исчезновения владельца. Владелец должен периодически перемещать монеты, чтобы путь наследников оставался закрытым; как только таймлок истечёт, наследники смогут тратить средства.
10. Мультиподписные схемы распределяют контроль между доверенными сторонами, например родственником и юристом, специализирующимся на цифровых активах. В конфигурации 2 из 3 после истечения таймлока ни у одного человека нет полной власти единолично перемещать средства: требуются две подписи. Это повторяет традиционное планирование наследства, где исполнитель завещания работает вместе с наследниками. Тому, кто выступает исполнителем, нужно достаточно технических указаний, чтобы реализовать план.
11. Обычно техническую настройку дополняют письмом с инструкциями, в котором объясняется, что существует и как этим пользоваться, но сами секреты не приводятся. Правила зависят от юрисдикции: во многих странах завещание после процедуры утверждения становится публичным документом, поэтому сид-фразам в нём не место. Поучительный пример сосредоточенного контроля — QuadrigaCX, канадская биржа, основатель которой Джеральд Коттен (Gerald Cotten) умер в декабре 2018 года, оставив перед клиентами долг около 215 млн канадских долларов; позже регуляторы установили, что потери возникли в основном из-за его мошенничества, которое было легко скрыть, поскольку ключи хранились у него одного. Обычно рекомендуется получить профессиональную юридическую консультацию.
12. Прежде чем полагаться на план, его часто отрабатывают: настраивают ту же политику в testnet или с минимальной суммой, дожидаются истечения таймлока и проверяют, что ключи наследников действительно могут подписывать, — так становится известно, что техническая настройка соответствует юридическому замыслу. Кошельки на основе Miniscript, такие как Liana, созданы именно для такого восстановления с таймлоком.

Ключевые факты

Упражнение девять, шесть, три, один

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

• A. M. Antonopoulos & D. A. Harding, Mastering Bitcoin, 3rd ed. (2023), ch. 7
• BIP380: Output Script Descriptors General Operation
• Bitfinex hack public disclosures (2016)
• Chainalysis, Lost Coins Estimates (2020)
• Ontario Securities Commission, Report on QuadrigaCX (2020)
• Liana Wallet Documentation