SSP Enterprise: vault multisig per i team

La maggior parte degli assetti cripto aziendali ha un buco a forma di persona. Qualcuno tiene il portafoglio hardware. Qualcuno sa dov'è la frase seme. I controlli esistono davvero — approvazioni in un foglio di calcolo, un documento di policy, la regola che due persone debbano essere in chiamata — ma nessuno di essi è imposto da altro che dall'accordo di tutti di rispettarli.

SSP Enterprise chiude quel buco spostando la regola dentro l'indirizzo stesso. Un vault è un multisig M su N in cui la soglia fa parte di come l'indirizzo viene derivato, quindi la rete rifiuta di regolare una transazione che non l'abbia raggiunta. Nessuna pressione interna, nessun portatile compromesso e nessun dipendente in uscita cambia quell'aritmetica.

Questo articolo è la mappa dell'intero sistema: come si incastrano organizzazioni, vault, ruoli, proposte e politiche e — cosa importante — quali di queste cose fermano davvero una transazione e quali si limitano a darle forma.

Il problema di una sola persona che tiene le chiavi

Il problema del firmatario unico non riguarda davvero la fiducia. Riguarda la concentrazione.

Una chiave sola significa che una macchina compromessa svuota la tesoreria. Significa che una persona in ferie blocca gli stipendi. Significa che un'uscita innesca una corsa a ruotare tutto, e che una brutta giornata produce un incidente senza alcun vincolo tecnico tra un impulso e un bonifico irreversibile.

Il multisig trasforma ognuno di questi casi in un evento sopravvivibile, perché nessun singolo segreto basta. Che cos'è il multisig e perché conta tratta il modello in sé. Quel che segue è come lo si organizza quando a detenere è un'azienda anziché una persona.

Organizzazioni, vault e firmatari

Tre livelli, e conviene tenerli distinti in testa.

Un'organizzazione è il contenitore: le persone, i ruoli, la traccia di audit, il rapporto di fatturazione. È identificata da un'identità WK anziché da un indirizzo e-mail, e porta un indice di organizzazione immutabile compreso tra 100 e 99999 che entra a far parte di ogni percorso di derivazione sottostante. «Immutabile» è la parola portante: quell'indice non è modificabile in seguito, perché cambiarlo cambierebbe ogni indirizzo che l'organizzazione abbia mai derivato.

Un vault è uno specifico multisig M su N su una specifica catena. Un'organizzazione può averne molti, e non devono condividere soglia, catena o insieme di firmatari. Un vault di tesoreria 3 su 5 su Bitcoin e un vault pagamenti 2 su 3 su Ethereum sono oggetti di custodia distinti che si dà il caso siano amministrati dallo stesso posto.

Un firmatario è una persona, rappresentata dai due dispositivi che SSP usa sempre: l'estensione del browser e l'app SSP Key. Quando un firmatario approva una proposta di vault partecipano entrambi i suoi dispositivi, quindi la N del tuo M su N conta persone, e ciascuna di quelle persone è a sua volta protetta da un 2 su 2.

I vault sono disponibili sulle catene supportate da SSP: Bitcoin, Litecoin, Dogecoin, Ravencoin, Flux, Zcash e Bitcoin Cash sul versante UTXO; Ethereum, BSC, Avalanche, Polygon e Base sul versante EVM; e Solana. La derivazione segue BIP-48 con l'indice dell'organizzazione nella posizione del conto — la specifica BIP-48 è la fonte primaria, e BIP48 spiegato racconta come lo usa SSP.

La soglia è nell'indirizzo

È questa la parte che distingue il multisig aziendale da un flusso di approvazioni, e conviene essere precisi.

Quando si crea un vault, le chiavi pubbliche dei firmatari e il numero di firme richiesto vengono combinati per produrre l'indirizzo. La soglia non è un'impostazione salvata accanto al vault; è un ingresso dell'indirizzo. Da qui tre conseguenze da mettere in conto.

Nessuno può abbassarla. Non un amministratore, non SSP, non un aggressore con accesso alla dashboard. La catena valida rispetto all'indirizzo, e l'indirizzo codifica la regola.

Cambiare firmatari significa un vault nuovo. Aggiungere o togliere un firmatario cambia l'indirizzo, il che comporta spostare fondi anziché modificare un record. È un costo operativo reale ed è la cosa principale da ponderare prima di scegliere l'insieme dei firmatari. 2 su 2 contro 2 su 3 contro m su n è la guida per scegliere una soglia che non vorrai cambiare subito.

Scendere sotto la soglia è irrecuperabile. Un vault 3 su 5 sopravvive alla scomparsa di due firmatari, non di tre. Metti in conto le uscite, i telefoni persi e le eventuali questioni ereditarie prima di finanziare qualsiasi cosa: eredità e accesso di emergenza vale per le organizzazioni almeno quanto per le persone.

Alcune catene offrono flessibilità su come viene prodotta l'approvazione di un firmatario. Sulle catene EVM un vault può richiedere entrambi i dispositivi di un firmatario oppure accettare una modalità a dispositivo singolo; su Solana, una modalità di firma a chiave singola scambia il 2 su 2 per persona con insiemi di firmatari più ampi, fino a 7 su 15. Sono compromessi deliberati tra dimensione del comitato e sicurezza individuale, scelti alla creazione del vault. L'opzione Schnorr a chiave singola è stata introdotta per i vault aziendali proprio con quello scambio in mente.

I ruoli non sono potere di firma

L'equivoco più comune nei prodotti di custodia condivisa è confondere l'organigramma con il materiale crittografico. SSP li tiene separati di proposito.

I ruoli di organizzazione — owner, admin, member, viewer — governano lo spazio di lavoro. Decidono chi può invitare, chi può creare vault, chi può cambiare le impostazioni dell'organizzazione. Un owner può modificare chiunque; un admin può modificare member e viewer ma non altri admin; un viewer non può invitare affatto.

I ruoli di vault — admin, firmatario, viewer — governano un vault specifico. Solo la chiave di un firmatario sta nell'indirizzo.

La conseguenza importante: essere owner dell'organizzazione non ti rende capace di spendere. Se l'owner non è firmatario di un vault, non può muoverne i fondi, qualunque cosa dica la dashboard. Autorità amministrativa e autorità di custodia sono cose diverse, e in SSP stanno in posti diversi: una in un database, l'altra in un indirizzo.

È questa separazione a permettere a un responsabile finanziario di amministrare vault che non può svuotare da solo, e a rendere un account admin compromesso un problema di coordinamento anziché di solvibilità.

Che cosa attraversa una proposta

Spendere da un vault è una proposta, non un clic.

Un firmatario o un admin di vault redige una transazione. Diventa visibile ai firmatari del vault, che la esaminano e approvano sui propri dispositivi — ogni approvazione decodificata sul dispositivo anziché presa per buona da un server. Quando esistono M firme, la transazione può essere trasmessa. Fino ad allora resta in attesa, e se non raggiunge mai M scade invece di rimanere lì all'infinito.

La simulazione gira prima che tu approvi, non dopo: la proposta viene eseguita contro una copia dello stato attuale della catena, così la schermata di revisione può mostrare che cosa farebbe davvero la transazione e segnalare schemi rischiosi, invece di lasciarti leggere dati di chiamata grezzi. È stata aggiunta ai vault aziendali nella v1.40.

Le politiche danno forma alle proposte; le firme le regolano

SSP Enterprise supporta whitelist di indirizzi, restrizioni sulle destinazioni, blocchi temporali con soglie di valore e regole che richiedono l'approvazione di un admin oltre un certo importo. Sono davvero utili, e vale la pena dire con onestà che cosa sono.

Sono controlli del livello di coordinamento, non applicazione della custodia. Una whitelist impedisce che una proposta venga creata e approvata attraverso il flusso normale. Non entra a far parte dell'indirizzo e non viene validata dalla rete. L'unica cosa che la catena impone è la soglia di firme.

Lo diciamo chiaramente perché l'alternativa — lasciar intendere che un motore di politiche sia una garanzia di custodia — è esattamente il modo in cui le persone finiscono per restare sorprese. Il modello mentale corretto è che le politiche sono i controlli di processo che un team finanziario desidera, appoggiati su una garanzia di custodia che esiste indipendentemente da essi. Se domani ogni politica del sistema venisse aggirata, un aggressore avrebbe comunque bisogno di M firme dai dispositivi accoppiati di M persone.

Che cosa viene messo per iscritto

Ogni azione che cambia lo stato di un'organizzazione viene registrata: creazione di vault, ingressi e uscite di membri, cambi di ruolo, inviti emessi e accettati, trasferimenti di proprietà e ogni transizione di proposta. I registri di audit sono permanenti — nessuna scadenza, nessun processo di pulizia — perché il valore di una traccia di audit sta interamente nelle parti di cui non avevi previsto di aver bisogno.

Alcune operazioni vanno oltre e richiedono di firmare di nuovo con i tuoi due dispositivi nel momento in cui le esegui: trasferire la proprietà, eliminare un'organizzazione, rimuovere un membro, cambiare l'e-mail aziendale. La sfida la genera il server, mai il client, e ogni tentativo — riuscito o no — viene registrato in modo permanente.

Come iniziare

Un'organizzazione si crea da un'identità SSP, i vault si creano al suo interno e i firmatari entrano su invito alla propria identità WK, non a un indirizzo e-mail. Ogni firmatario invia la propria chiave pubblica estesa perché l'indirizzo del vault possa essere derivato, e il vault diventa attivo quando l'insieme completo dei firmatari ha contribuito.

Prima di allora, le due decisioni da prendere con calma sono la soglia e l'insieme dei firmatari, perché entrambe costano care da cambiare dopo. Tutto il resto — politiche, ruoli, integrazioni, preferenze di notifica — si può regolare quando vuoi.

L'annuncio di lancio racconta che cosa è uscito all'inizio, e i contratti e l'infrastruttura di account abstraction di SSP sono stati sottoposti ad audit da Halborn nel 2025. Se il modello 2 su 2 sottostante che ogni firmatario usa ti è nuovo, che cos'è il multisig 2 su 2 è il punto di partenza.