Polityka skarbca dla małych zespołów: kto może przenosić pieniądze

Gdy firma po raz pierwszy zaczyna przechowywać kryptowaluty, zwykle trafiają one do portfela jednej osoby. Założyciel go skonfigurował, założyciel przechowuje frazę odzyskiwania i założyciel wysyła płatności. To działa — dopóki ta osoba nie wyjedzie, nie zachoruje, nie odejdzie, nie padnie ofiarą phishingu albo po prostu nie popełni błędu, którego nikt nie wychwyci.

Rozwiązaniem jest polityka skarbca. Nie musi być długa ani formalna. Musi odpowiadać na kilka pytań na tyle jasno, by wszyscy znali zasady, zanim pieniądze zostaną przeniesione, a nie po fakcie.

Pytanie 1: kto może wydawać?

Zacznij od rozdzielenia trzech ról, które często się zacierają:

• Wnioskodawcy — osoby, które mogą przygotować płatność.
• Zatwierdzający — osoby, których podpis jest wymagany do jej wysłania.
• Obserwatorzy — osoby, które muszą widzieć salda i historię, ale nigdy nie powinny dotykać środków, np. księgowy.

Podstawowa zasada kontroli brzmi: nikt nie może samodzielnie przenieść środków. W kryptowalutach egzekwuje się to za pomocą multisig: adresu skarbca, który wymaga M zatwierdzeń spośród N sygnatariuszy. Dla zespołu od trzech do pięciu osób typowym punktem wyjścia jest 2-of-3 lub 3-of-5. Wyższe progi w równym stopniu zwiększają bezpieczeństwo i utrudnienia.

Pytanie 2: co z kluczami, gdy ludzie odchodzą?

Każdy sygnatariusz to człowiek, który może odejść, zgubić urządzenie lub przestać odpowiadać. Zaplanuj to:

• Próg niższy niż łączna liczba. Przy 2-of-3 utrata jednego sygnatariusza nie zamraża środków.
• Żadnych dwóch sygnatariuszy z tym samym pojedynczym punktem awarii — nie ten sam sejf w biurze, nie ten sam laptop, najlepiej nie to samo gospodarstwo domowe.
• Etap offboardingu. Gdy ktoś odchodzi, usuń go z sygnatariuszy, a w razie potrzeby przenieś środki do sejfu bez jego klucza. Nie czekaj, aż coś pójdzie nie tak.
• Udokumentowana ścieżka odzyskiwania, która nie zależy od tego, czy jedna osoba pamięta, jak wszystko działa.

Pytanie 3: które działania wymagają szczególnej ostrożności?

Niektóre decyzje są bardziej niebezpieczne niż zwykła płatność: zmiana sygnatariuszy, przeniesienie własności, usuwanie osób, usunięcie organizacji. Powinny wymagać czegoś więcej niż jednego kliknięcia z zalogowanego konta. Zapisz, które działania są „krytyczne” i jakiego potwierdzenia wymagają.

Pytanie 4: jak sprawdza się płatności?

Etap zatwierdzania ma wartość tylko wtedy, gdy zatwierdzający rzeczywiście coś sprawdzają. Wystarczy krótka lista kontrolna:

• Czy odpowiada na konkretne żądanie — fakturę, listę płac, uzgodniony przelew?
• Czy adres jest zweryfikowany — wcześniej zapisany i potwierdzony, a nie wklejony z e-maila?
• Czy kwota jest prawidłowa, łącznie z aktywem i siecią?
• Czy przy interakcjach z kontraktami symulacja zgadza się z zamiarem?

Najczęstszą stratą w skarbcu nie jest zhakowany klucz, lecz przekonująca faktura ze zmienionym adresem. Zasada, że nowe adresy odbiorców trzeba potwierdzić drugim kanałem — telefonem, istniejącym kontaktem — zapobiega wielu takim przypadkom.

Pytanie 5: co jest rejestrowane?

Każda płatność powinna zostawiać ślad: kto ją zaproponował, kto zatwierdził, kiedy i dlaczego. To sprawia, że polityka podlega audytowi, i pozwala zespołowi odtworzyć przebieg zdarzeń, jeśli coś pójdzie nie tak.

Szablon na początek

Dla małego zespołu na start wystarczy coś takiego:

1. Skarbiec jest przechowywany w sejfie multisig z progiem 2-of-3 (lub 3-of-5).
2. Sygnatariusze to imiennie wskazane osoby; żadnych wspólnych kont ani wspólnych urządzeń.
3. Każdy w zespole finansowym może proponować; zatwierdzają tylko sygnatariusze.
4. Nowe adresy odbiorców są weryfikowane innym kanałem przed pierwszym użyciem.
5. Zmiany sygnatariuszy i przeniesienia własności to działania krytyczne wymagające ponownego potwierdzenia.
6. Propozycja, zatwierdzenia i cel każdej płatności są przechowywane w dokumentacji.
7. Offboarding obejmuje usunięcie danej osoby z sygnatariuszy w jej ostatnim dniu pracy.
8. Polityka jest przeglądana co sześć miesięcy lub po każdym incydencie.

Jak SSP Enterprise się do tego odnosi

SSP Enterprise zbudowano wokół tych pytań:

• Role. Organizacje mają właścicieli, administratorów, członków i obserwatorów, więc proponowanie, zatwierdzanie i przeglądanie są rozdzielone. Role i uprawnienia opisują, co może każda z nich.
• Sejfy M-of-N. Każdy sejf ma własny próg i własny zestaw sygnatariuszy, a organizacja może prowadzić kilka sejfów — na przykład konto operacyjne i rezerwę z wyższym progiem. W trybie domyślnym każdy sygnatariusz zatwierdza zarówno w SSP Wallet, jak i w SSP Key, więc nawet zatwierdzenie jednego sygnatariusza jest samo w sobie 2-of-2. Ponieważ adres sejfu powstaje z kluczy jego sygnatariuszy, zmiana osób uprawnionych do podpisu oznacza przeniesienie środków do nowego sejfu — warto uwzględnić to w planie offboardingu.
• Działania krytyczne. Przeniesienie własności, usuwanie członków, usunięcie organizacji i zmiana firmowego adresu e-mail wymagają ponownego podpisania kluczami tożsamości, a nie tylko zalogowanej sesji.
• Kontrole przed podpisaniem. Propozycje pokazują odbiorców i kwoty, a interakcje z kontraktami są symulowane i opatrzone ostrzeżeniami o ryzyku, zanim sygnatariusze je zatwierdzą.
• Zapis każdej płatności. Propozycje przechowują informację, kto zaproponował, kto podpisał, a kto jeszcze nie, a do celów księgowych dostępne są eksporty.

Jeśli zaczynasz od zera, konfiguracja pierwszego sejfu firmowego przeprowadzi cię przez to krok po kroku.

Uczciwe podsumowanie

Polityka skarbca odpowiada na pięć pytań: kto może wydawać, co się dzieje, gdy ludzie odchodzą, które działania są krytyczne, jak sprawdza się płatności i jaki zapis jest prowadzony. Zapisz odpowiedzi, zanim będą potrzebne.

Multisig egzekwuje najważniejszą zasadę — nikt nie może samodzielnie przenieść środków. Reszta to nawyk: zweryfikowane adresy, prawdziwe kontrole przed zatwierdzeniem i offboarding przeprowadzany na czas.