SSP Enterprise: cofres multisig para equipes
A maioria dos arranjos cripto de empresa tem um buraco em forma de pessoa. Alguém guarda a carteira de hardware. Alguém sabe onde está a frase semente. Os controles existem — aprovações numa planilha, um documento de política, a regra de que duas pessoas precisam estar na chamada — mas nenhum deles é imposto por nada além do acordo de todos de cumpri-los.
A SSP Enterprise fecha esse buraco levando a regra para dentro do próprio endereço. Um cofre é um multisig M-de-N em que o limiar faz parte de como o endereço é derivado, então a rede se recusa a liquidar uma transação que não o tenha atingido. Nenhuma pressão interna, notebook comprometido ou funcionário saindo muda essa aritmética.
Este artigo é o mapa do sistema inteiro: como organizações, cofres, papéis, propostas e políticas se encaixam — e, importante, quais dessas coisas de fato barram uma transação e quais apenas lhe dão forma.
O problema de uma pessoa guardar as chaves
O problema do signatário único não é realmente sobre confiança. É sobre concentração.
Uma chave só significa que uma máquina comprometida esvazia a tesouraria. Significa que uma pessoa de férias travando a folha de pagamento. Significa que uma saída provoca uma correria para rotacionar tudo, e que um dia ruim gera um incidente sem nenhuma restrição técnica entre um impulso e uma transferência irreversível.
O multisig transforma cada um desses casos num evento sobrevivível, porque nenhum segredo isolado é suficiente. O que é multisig e por que importa cobre o modelo em si. O que segue é como ele se organiza quando quem custodia é uma empresa e não uma pessoa.
Organizações, cofres e signatários
Três camadas, e vale mantê-las distintas na cabeça.
Uma organização é o recipiente: as pessoas, os papéis, a trilha de auditoria, a relação de cobrança. É identificada por uma identidade WK em vez de um endereço de e-mail, e carrega um índice de organização imutável entre 100 e 99999 que passa a fazer parte de cada caminho de derivação abaixo dela. "Imutável" é a palavra estrutural — esse índice não pode ser editado depois, porque mudá-lo mudaria todos os endereços que a organização já derivou.
Um cofre é um multisig M-de-N específico numa rede específica. Uma organização pode ter vários, e eles não precisam compartilhar limiar, rede nem conjunto de signatários. Um cofre de tesouraria em 3-de-5 no Bitcoin e um cofre de pagamentos em 2-de-3 no Ethereum são objetos de custódia distintos que por acaso são administrados do mesmo lugar.
Um signatário é uma pessoa, representada pelos dois dispositivos que a SSP sempre usa: a extensão do navegador e o app SSP Key. Quando um signatário aprova uma proposta de cofre, os dois dispositivos dele participam — então o N do seu M-de-N conta pessoas, e cada uma dessas pessoas está, por sua vez, protegida por um 2-de-2.
Cofres estão disponíveis nas redes que a SSP suporta: Bitcoin, Litecoin, Dogecoin, Ravencoin, Flux, Zcash e Bitcoin Cash do lado UTXO; Ethereum, BSC, Avalanche, Polygon e Base do lado EVM; e Solana. A derivação segue o BIP-48 com o índice da organização na posição de conta — a especificação BIP-48 é a fonte primária, e BIP48 explicado cobre como a SSP a usa.
O limiar está no endereço
Esta é a parte que diferencia o multisig empresarial de um fluxo de aprovações, e vale ser preciso.
Quando um cofre é criado, as chaves públicas dos signatários e o número de assinaturas exigido são combinados para produzir o endereço. O limiar não é uma configuração guardada ao lado do cofre; é uma entrada do endereço. Disso decorrem três consequências que valem planejamento.
Ninguém consegue baixá-lo. Nem um administrador, nem a SSP, nem um atacante com acesso ao painel. A rede valida contra o endereço, e o endereço codifica a regra.
Trocar signatários significa um cofre novo. Adicionar ou remover um signatário muda o endereço, o que implica mover fundos em vez de editar um registro. É um custo operacional real e é a principal coisa a pensar antes de escolher seu conjunto de signatários. 2-de-2 x 2-de-3 x m-de-n é o guia para escolher um limiar que você não vai querer mudar em seguida.
Perder signatários abaixo do limiar é irrecuperável. Um cofre 3-de-5 sobrevive a dois signatários desaparecerem, não a três. Planeje as saídas, os celulares perdidos e as eventuais questões de herança antes de financiar qualquer coisa — herança e acesso de emergência se aplica a organizações no mínimo tanto quanto a indivíduos.
Algumas redes oferecem flexibilidade em como a aprovação de um signatário é produzida. Em redes EVM, um cofre pode exigir os dois dispositivos de um signatário ou aceitar um modo de dispositivo único; na Solana, um modo de assinatura com chave única troca o 2-de-2 por pessoa por conjuntos de signatários maiores, até 7-de-15. São trocas deliberadas entre tamanho do comitê e segurança individual, escolhidas na criação do cofre. A opção Schnorr de chave única foi introduzida para cofres empresariais exatamente com essa troca em mente.
Papéis não são poder de assinatura
A confusão mais comum em produtos de custódia compartilhada é misturar o organograma com o material criptográfico. A SSP os mantém separados de propósito.
Papéis de organização — dono, administrador, membro, observador — governam o espaço de trabalho. Decidem quem pode convidar, quem pode criar cofres, quem pode mudar configurações da organização. Um dono pode modificar qualquer um; um administrador pode modificar membros e observadores, mas não outros administradores; um observador não pode convidar de jeito nenhum.
Papéis de cofre — administrador, signatário, observador — governam um cofre específico. Só a chave de um signatário está no endereço.
A consequência importante: ser dono da organização não te torna capaz de gastar. Se o dono não for signatário de um cofre, não pode mover os fundos dele, não importa o que o painel diga. Autoridade administrativa e autoridade de custódia são coisas diferentes, e na SSP ficam guardadas em lugares diferentes — uma num banco de dados, outra num endereço.
Essa separação é o que permite a um líder financeiro administrar cofres que ele não pode esvaziar sozinho, e o que faz de uma conta de administrador comprometida um problema de coordenação em vez de solvência.
Por onde uma proposta passa
Gastar de um cofre é uma proposta, não um clique.
Um signatário ou administrador de cofre redige uma transação. Ela fica visível para os signatários do cofre, que revisam e aprovam nos próprios dispositivos — cada aprovação decodificada no dispositivo em vez de aceita na fé a partir de um servidor. Quando existem M assinaturas, a transação pode ser transmitida. Até então ela fica em espera, e se nunca alcançar M ela expira em vez de ficar pendurada indefinidamente.
A simulação roda antes de você aprovar, não depois: a proposta é executada contra uma cópia do estado atual da rede para que a tela de revisão possa mostrar o que a transação realmente faria e sinalizar padrões arriscados, em vez de deixar você ler dados de chamada crus. Isso foi acrescentado aos cofres empresariais na v1.40.
Políticas moldam propostas; assinaturas as liquidam
A SSP Enterprise suporta listas brancas de endereços, restrições de destino, travas de tempo com limiares de valor e regras que exigem aprovação de administrador acima de certo valor. São genuinamente úteis, e vale dizer honestamente o que elas são.
São controles da camada de coordenação, não imposição de custódia. Uma lista branca impede que uma proposta seja criada e aprovada pelo fluxo normal. Ela não passa a fazer parte do endereço e não é validada pela rede. A única coisa que a rede impõe é o limiar de assinaturas.
Dizemos isso com clareza porque a alternativa — insinuar que um motor de políticas é uma garantia de custódia — é exatamente como as pessoas acabam surpresas. O modelo mental correto é que políticas são os controles de processo que um time financeiro quer, assentados sobre uma garantia de custódia que existe independentemente delas. Se toda política do sistema fosse burlada amanhã, um atacante ainda precisaria de M assinaturas dos dispositivos pareados de M pessoas.
O que fica registrado
Toda ação que muda o estado de uma organização é registrada: criação de cofres, entradas e saídas de membros, mudanças de papel, convites emitidos e aceitos, transferências de propriedade e cada transição de proposta. Os registros de auditoria são permanentes — sem expiração, sem rotina de limpeza — porque o valor de uma trilha de auditoria está inteiramente nas partes de que você não previu precisar.
Certas operações vão além e exigem assinar de novo com seus dois dispositivos no momento em que você as executa: transferir propriedade, excluir uma organização, remover um membro, mudar o e-mail empresarial. O servidor gera o desafio, nunca o cliente, e toda tentativa — bem-sucedida ou não — é registrada em definitivo.
Como começar
Uma organização é criada a partir de uma identidade SSP, cofres são criados dentro dela, e signatários entram por convite à própria identidade WK, não a um endereço de e-mail. Cada signatário envia sua chave pública estendida para que o endereço do cofre possa ser derivado, e o cofre fica ativo quando o conjunto completo de signatários contribuiu.
Antes disso, as duas decisões que vale tomar devagar são o limiar e o conjunto de signatários, porque ambos são caros de mudar depois. Todo o resto — políticas, papéis, integrações, preferências de notificação — pode ser ajustado quando você quiser.
O anúncio de lançamento conta o que saiu originalmente, e os contratos e a infraestrutura de abstração de conta da SSP foram auditados pela Halborn em 2025. Se o modelo 2-de-2 subjacente que cada signatário usa for novidade para você, o que é multisig 2-de-2 é o ponto de partida.
