Como montar uma carteira multisig recuperável

Defina o que um esquema 2 de 3 protege

A política aceita duas assinaturas de três chaves distintas. Tolera perder ou não acessar uma, mas não duas fontes necessárias. Três aparelhos restaurados da mesma semente não são três chaves independentes. Gere A, B e C separadamente e confira cada backup antes de reunir.

Defina falhas cobertas: backup roubado, local destruído, dispositivo quebrado ou participante ausente. Separe aparelhos e cópias para um incidente não reunir o quórum. Quem guarda duas chaves completas juntas controla efetivamente os gastos. Documente como herdeiros ou colaboradores encontram política e chaves suficientes sem montar um pacote conveniente para ladrões.

Explore modelos de custódia ↗

Reúna e preserve a política completa

Escolha um script comum compatível, como SegWit nativo 2 de 3, em coordenador e dispositivos. Exporte dados públicos pelo procedimento multifirma documentado. Rotule assinadores e compare origens e chaves públicas completas da conta. A impressão digital mestra ajuda a identificar, mas não autentica sozinha.

A configuração inclui quórum, estrutura do script, três chaves públicas, ordem ou regra de ordenação, caminhos e ramos de recebimento e troco. Um descritor ou exportação equivalente preserva tudo. Compatibilidade inclui essa política, não só aceitar as mesmas palavras. Disponibilize configuração pública completa a cada caminho de recuperação; duas sementes sozinhas podem deixar scripts por reconstruir.

Verifique a política antes de receber

Importe ou registre a mesma política em cada dispositivo conforme o fabricante. Confira quórum, script e participantes nas telas confiáveis quando possível. Um coordenador comprometido poderia trocar uma chave ou mostrar endereço externo. Registrar só ajuda se você verificou a política registrada.

Derive um endereço e compare em pelo menos dois dispositivos confiáveis independentes, incluindo endereço completo e índice. Confira outro de recebimento e um de troco na prática. Não atribua divergência à interface: resolva política, ramo, índice ou conta e preserve a configuração verificada como referência.

Faça um pagamento pequeno com dois assinadores

Financie o endereço verificado com valor cuja perda e taxas consiga suportar. Monte pagamento pequeno e confira entradas, destinatário, troco e custo. Transfira a PSBT por meio compatível. Assine primeiro com A e depois B, conferindo em ambos sem supor que a primeira assinatura dispensa a segunda revisão.

Devolva assinaturas ao coordenador, finalize, transmita e confira confirmação. Uma assinatura deve ser insuficiente. Assinar de novo com a mesma chave não conta como outra distinta. Reserve fundos para outros pares e anote se todos reconhecem troco. A+B comprova esse par, não o backup C nem todo o plano.

Entenda assinatura PSBT ↗

Simule perder um dispositivo sem apagá-lo

Separe A como indisponível sem apagar seu único aparelho funcional. Restaure configuração num perfil coordenador novo. Conecte ou importe B e C pelo método documentado, reproduza endereços e histórico e assine pequeno pagamento com B+C. Teste A+C quando possível para verificar cada chave e par alternativo.

Para testar backup, restaure uma chave de prática num dispositivo compatível reserva pelo processo oficial, incluindo frase adicional e registro de política. Mantenha originais até derivar endereços esperados e concluir gasto com o restaurado. Registre software ou metadados faltantes enquanto tudo funciona. O exercício deve reduzir incerteza, sem improvisar dados perdidos numa emergência.

Planeje substituição, privacidade e manutenção

Se perder chave ou suspeitar de exposição, as duas sobreviventes transferem para política nova verificada com chave substituta. Saídas existentes continuam na política original; mudar etiqueta ou configuração não as rotaciona. Crie e verifique a nova carteira, faça backup da configuração, confira endereço e transfira com o quórum sobrevivente.

Descritores públicos podem revelar toda a atividade mesmo sem permitir gasto. Proteja como metadados e diferencie de exportações privadas. Mantenha formatos, compatibilidade e instruções compreensíveis e revise após mudanças de firmware ou participantes. Aumente saldo somente quando assinatura e recuperação não dependerem de um dispositivo ou arquivo insubstituível.