Один скомпрометированный ключ — и средства фонда уходят за минуты. Институциональные клиенты — DAO, хедж-фонды, family offices — не могут полагаться на single point of failure. Multi-approval система решает эту проблему: она сочетает on-chain multisig (Safe{Core}) с off-chain политиками, HSM-интеграцией и полным аудит-трейлом. У нас 5+ лет опыта в разработке таких систем для 20+ проектов. Мы гарантируем защиту активов и соответствие жестким требованиям compliance. Внедрение multi-approval позволяет предотвратить потерю миллионов долларов — как показывает статистика, 80% инцидентов с казначейскими счетами DAO происходят из-за отсутствия многоуровневого утверждения. Экономия от внедрения может достигать $500k в год при объёме транзакций от $10M, а средняя стоимость одного инцидента безопасности — $2M.
Технические сложности, которые устраняет multi-approval
Компрометация ключа — один приватный ключ не даёт полного контроля. Даже если злоумышленник получит доступ к одному approver, он не сможет вывести активы — нужно N подписей. Для HSM-ключей private key физически не покидает защищённое железо. Человеческая ошибка: ошибочная транзакция блокируется на этапе проверки политик. Policy Engine отклоняет перевод на незнакомый адрес или сумму сверх дневного лимита в $10k. Аудит и compliance: каждый шаг логируется — кто создал запрос, кто одобрил, с какого устройства. Экспорт логов в формате для аудиторов с интеграцией в SIEM через webhook. Гибкость управления: роли разделены (Admin, Initiator, Approver, Executor, Auditor). Политики меняются без переразвёртывания смарт-контрактов — обновление через API занимает минуты.
Как работает multi-approval для институциональных кошельков?
Мы используем два уровня: on-chain multisig и off-chain политики. On-chain обеспечивает неизменяемое исполнение транзакций при достижении порога подписей. Off-chain добавляет гибкость: лимиты по суммам, whitelist адресов, time-locks, правило четырёх глаз. Комбинация даёт безопасность и адаптивность.
| Аспект | On-chain multisig (Safe) | Off-chain политики (Fireblocks-like) |
|---|---|---|
| Исполнение | Смарт-контракт | Смарт-контракт + policy engine |
| Гибкость | Низкая (только threshold) | Высокая (лимиты, роли, time-locks) |
| Изменение политик | Миграция контракта | Обновление конфигурации без контракта |
| Безопасность | Ключи на клиенте | HSM + физическая защита |
| Стоимость внедрения | Низкая | Средняя/высокая |
| Тип политики | Пример конфигурации | Время изменения |
|---|---|---|
| Spending limit | $50k/день на USDC | 5 минут через API |
| Whitelist | Список approved адресов | 10 минут с одобрения Admin |
| Time-lock | 24 часа для суммы >$100k | Фиксирован в конфиге |
Детальная архитектура системы
Policy Engine — сервис, хранящий и применяющий правила:
- Whitelist адресов-получателей
- Spending limits (дневной, недельный лимит по токену)
- Time-based rules (транзакции только в UTC рабочие часы)
- Amount thresholds (до $10k — 2 подписи, свыше $100k — 5 подписей)
- Asset-specific rules (операции с определёнными токенами требуют одобрения CFO)
Approval Workflow Engine — управляет состояниями запросов: PENDING_APPROVAL → COLLECTING_SIGNATURES → READY_TO_EXECUTE → EXECUTED ↘ REJECTED ↙
Каждый переход логируется с timestamp и actor_id — обязательно для compliance.
Signature Aggregator — собирает подписи EIP-712 (или EIP-1271 для смарт-контрактов). Хранит частичные подписи до порога.
Notification Service — уведомляет approvers по email, Telegram, Slack с deep-link для быстрого одобрения.
HSM интеграция — для крупных институтов ключи approvers хранятся в AWS CloudHSM или Azure Dedicated HSM. Подпись внутри HSM без экспорта private key. Реализация:
import * as pkcs11js from "pkcs11js"; class HSMSigner { private pkcs11: pkcs11js.PKCS11; async sign(txHash: Buffer, keyLabel: string): Promise<Buffer> { const session = this.pkcs11.C_OpenSession(this.slotId, pkcs11js.CKF_SERIAL_SESSION); this.pkcs11.C_Login(session, pkcs11js.CKU_USER, this.pin); const privateKey = this.findKeyByLabel(session, keyLabel); this.pkcs11.C_SignInit(session, { mechanism: pkcs11js.CKM_ECDSA }, privateKey); const signature = this.pkcs11.C_Sign(session, txHash, Buffer.alloc(64)); this.pkcs11.C_Logout(session); this.pkcs11.C_CloseSession(session); return this.convertToEthSignature(signature); } } Ключевое: private key никогда не покидает HSM.
Safe{Core} — де-факто стандарт для Ethereum. Транзакция требует накопления подписей off-chain и финального execute вызова. Структура транзакции:
struct SafeTx { address to; uint256 value; bytes data; Enum.Operation operation; uint256 safeTxGas; uint256 baseGas; uint256 gasPrice; address gasToken; address refundReceiver; uint256 nonce; } Почему стоит комбинировать on-chain и off-chain политики?
Чистый on-chain multisig медленно адаптируется к новым требованиям: любое изменение политики требует миграции контракта. Off-chain Policy Engine даёт гибкость в 10 раз быстрее — лимиты и роли меняются через API без газа. А on-chain исполнение гарантирует, что политики нельзя обойти. Для транзакций сверх порога — обязательный time-lock (например, 24 часа), в течение которого другие owners могут отменить. Emergency pause замораживает все исходящие при компрометации. Получите консультацию по архитектуре вашей системы — оценим риски текущего решения.
Процесс внедрения
- Аудит требований: анализ текущей инфраструктуры, ролей, compliance-нужд. Оценка рисков.
- Проектирование: выбор архитектуры (on-chain только Safe или с off-chain engine), дизайн политик, ролевая модель.
- Реализация: разработка смарт-контрактов (Safe Modules), backend (Node.js + PostgreSQL), frontend (React + wagmi), HSM-интеграция.
- Тестирование: unit-тесты, интеграционные тесты, fuzzing (Echidna), formal verification (SLither, Mythril).
- Security audit: внешний аудит контрактов и всей системы. Исправления.
- Деплой и обучение: развертывание в инфраструктуре клиента, настройка CI/CD, обучение команды.
Сроки и что входит в работу
Ориентировочные сроки:
- Базовая система (Safe + workflow + UI): 8–10 недель
- С HSM интеграцией: +3–4 недели
- С compliance/audit экспортом: +2 недели
- Security audit: +3–6 недель
- Итого production-ready: 4–5 месяцев
Отметим: что входит:
- Набор смарт-контрактов Safe Modules
- Backend (API Policy Engine + Workflow Engine)
- Frontend-панель управления
- Интеграция с HSM (AWS/Thales/Utils)
- Аудит-логи и экспорт
- Документация и обучение
- Поддержка после запуска (2 месяца)
Стоимость рассчитывается индивидуально после аудита требований. Экономия от внедрения multi-approval может достигать $500k в год при объёме транзакций от $10M, что подтверждается опытом наших проектов.
Закажите внедрение multi-approval системы сегодня. Получите консультацию — оценим риски вашего текущего решения и предложим архитектуру. Защитите активы с multi-approval системой, проверенной на 20+ проектах.
По данным Wikipedia, multisig используется для повышения безопасности криптовалютных кошельков.