Como funciona um limite multisig
O guia da BrefCrypto sobre wallets explica a custódia das chaves. Em uma estrutura multisig, vários proprietários ou dispositivos controlam uma mesma política. O limite indica o número mínimo de assinaturas necessárias.
Em um esquema 2 de 3, a perda de uma chave não bloqueia imediatamente os fundos. No entanto, duas chaves comprometidas permitem realizar um gasto. Uma configuração 3 de 5 oferece mais redundância, mas aumenta a complexidade, os custos e o número de backups a serem gerenciados.
No Bitcoin, a condição consta de um script, e cada signatário produz uma assinatura distinta. No Ethereum, uma smart account pode aplicar uma lógica semelhante. A documentação da Safe sobre smart accounts multisig descreve uma lista de proprietários e um limite exigido antes da execução.
Multisig não significa autenticação de dois fatores
A autenticação de dois fatores de uma exchange protege o acesso a uma conta administrada por uma empresa. O multisig impõe uma regra on-chain: a rede recusa a transação se o limite não tiver sido atingido. Portanto, os dois mecanismos não envolvem o mesmo controle nem oferecem os mesmos recursos.
Duas aplicações instaladas no mesmo celular não proporcionam uma separação real. Um malware, roubo ou falha pode afetar ambas. Cada chave deveria permanecer em um dispositivo ou suporte independente, idealmente em um local diferente.
Da mesma forma, três cópias de uma única seed phrase não criam uma configuração 2 de 3. Elas reproduzem a mesma chave. Um multisig utiliza chaves diferentes e uma política comum.
Escolha uma configuração adequada
Para uma pessoa, o modelo 2 de 3 costuma oferecer um bom equilíbrio: uma chave ativa, um backup pessoal e uma chave confiada a um terceiro ou mantida em outro local. Para uma empresa, o modelo 3 de 5 pode distribuir o controle entre as áreas de direção, finanças, segurança e backups.
O limite deve resistir a dois riscos opostos: roubo e bloqueio. Um limite baixo demais facilita um comprometimento. Um limite alto demais torna perigosa a perda de uma única chave. Mapeie os incidentes possíveis antes de escolher: incêndio, morte, conflito interno, viagem, falha de hardware ou indisponibilidade de um signatário.
Evite colocar todas as chaves no mesmo cofre. A separação geográfica é tão importante quanto a separação técnica. Para uma empresa, documente também quem pode substituir um signatário e qual aprovação é necessária.
Faça backup das chaves e da configuração
Cada seed phrase exige um backup offline. O guia sobre as limitações dos hardware wallets lembra que o dispositivo não substitui esse backup. Use suportes duráveis e evite fotos, e-mails ou armazenamento em nuvem sem criptografia.
O multisig acrescenta outro elemento: as informações necessárias para reconstruir o wallet. Dependendo do software, é preciso preservar as chaves públicas estendidas, o descritor, o script, a rede, o limite e o caminho de derivação. Sem essa configuração, as seed phrases podem não ser suficientes para recuperar os fundos com facilidade.
Crie várias cópias do descritor, pois ele geralmente não permite gastar fundos sozinho. Ainda assim, verifique as implicações para a privacidade: ele revela os endereços associados. Mantenha-o em locais controlados e documente o procedimento de restauração.
Teste antes de depositar um valor significativo
Crie o wallet com uma quantia pequena. Envie uma transação, reúna as assinaturas nos dispositivos previstos e depois faça a transmissão. Em seguida, simule a perda de uma chave e restaure o wallet usando o número mínimo de chaves restantes.
Esse teste revela incompatibilidades de formatos, firmware ou rede. Ele também confirma que cada signatário entende seu papel. Um procedimento que nunca foi testado pode falhar no pior momento.
Depois de uma atualização importante do software ou da substituição de um dispositivo, repita o teste. Mantenha uma pequena reserva para as taxas. No Ethereum, uma smart account precisa de ETH na rede correta para executar uma transação.
Organize as transações do dia a dia
Defina quem prepara a transação, quem verifica o endereço e quem faz a transmissão. Cada signatário deve conferir o valor, a rede, as taxas e o destino em seu próprio dispositivo. Uma única pessoa não deveria enviar aos demais uma captura de tela para aprovação sem verificação independente.
Para uma empresa, inclua uma justificativa, uma nota fiscal ou um identificador interno. Um registro das assinaturas facilita a auditoria. Estabeleça também limites: pequenas despesas podem seguir um processo rápido, enquanto uma transferência significativa exige mais verificações ou um prazo de espera.
A política operacional é o que dá valor real ao multisig. Sem ela, várias pessoas podem assinar a mesma fraude bem apresentada.
Riscos técnicos e humanos
Um contrato multisig pode conter uma falha ou uma função de atualização. Verifique o código, as auditorias e os módulos ativados. Um plugin malicioso pode, em alguns casos, contornar o fluxo normal. No Bitcoin, a compatibilidade entre softwares e o armazenamento do descritor exigem atenção especial.
O risco de conluio continua presente: dois signatários de uma configuração 2 de 3 podem agir em conjunto. O risco de coerção também existe. Distribuir as chaves entre pessoas relacionadas não garante uma independência real.
A segurança cripto para os próximos anos deve combinar dispositivos, procedimentos, privacidade e resposta a incidentes. Nenhum limite corrige uma organização mal documentada.
Planeje a sucessão e os conflitos
O multisig facilita uma transmissão gradual. Um herdeiro, tabelião ou executor pode deter uma chave sem conseguir movimentar os fundos sozinho. As outras chaves e instruções permanecem separadas até a morte ou incapacidade.
Essa organização deve respeitar a legislação local. Uma estrutura técnica não substitui um testamento nem resolve a propriedade jurídica. O plano de sucessão de cripto e Bitcoin apresenta os documentos, inventários e testes necessários.
Preveja também um mecanismo para casos de desacordo entre sócios. Quem substitui uma chave? Qual votação autoriza a mudança? Como proteger os fundos durante o conflito? A resposta deve existir antes da crise.
O que você precisa saber
- Um multisig distribui o poder de movimentar fundos entre várias chaves, de acordo com um limite.
- As seed phrases nem sempre são suficientes: o descritor e a configuração também exigem backup.
- Os testes de restauração e um procedimento de assinatura independente são tão importantes quanto o hardware.
Mais chaves exigem uma organização melhor
O multisig elimina o ponto único de falha, mas acrescenta responsabilidades. Uma configuração simples, locais distintos, um descritor armazenado em backup e exercícios regulares formam um sistema robusto. Sem documentação, a proteção pode se transformar em bloqueio. Portanto, o limite adequado corresponde a riscos concretos e a pessoas capazes de seguir o procedimento.
