面向机构的多签名钱包：其工作原理

了解面向机构的多签名钱包

在保护价值数百万（或数十亿）的数字资产时，仅靠一个私钥是远远不够的。多签名（multi-sig）钱包通过要求每笔交易都需经过多次独立批准，从而降低了单私钥风险。

控制权分散在多个私钥中，由不同的人或系统持有，因此单个私钥无法转移资金。要求多个授权方批准交易，从而消除了 单点故障 在传统的托管模式中很常见。

对于需遵守严格监管规定并承担受托责任的机构而言，多签名架构既能提供可验证的安全性，又能实现合规团队所要求的职责分离。

要点总结

• 多签名钱包需要多个签名才能授权交易，从而消除了可能威胁机构持仓的单点故障。

• 阈值配置（例如，冗余场景下的"3 选 2"；地理上分散且基于角色的审批场景下的"5 选 3"）使团队能够在不增加不必要阻力前提下调整安全设置。

• 与多方计算（MPC）解决方案不同，多签名（multi-sig）提供了透明的链上验证和审计轨迹，以满足合规要求。

• 妥善的密钥管理、冗余规划以及明确的签名政策，对于降低运营风险至关重要。

• 通过受监管的托管机构，多签名机制运行在经过强化保护的基础设施上，并享有保险保障、独立审计以及机构级支持。

什么是多签名钱包？它们是如何工作的？

试想一个需要多把密钥才能打开的银行保险库。这基本上就是多签名（multi-sig）的工作原理。与由单个私钥控制资产不同，一个 多签名钱包 设置了一个阈值：只有在获得规定数量的独立批准后，交易才会执行。

该阈值可配置。例如，在"3 人中 2 人同意"的配置下，三名指定密钥持有者中的任意两人即可批准一笔交易。 若需更严格的控制，5 人中的 3 人配置则要求从 5 名授权方中获得 3 个签名。这种结构明确了责任划分和职责分离，对于拥有大量数字资产组合的机构而言至关重要。

实际上，这意味着即使丢失了一把密钥或一名签名人无法参与，也不会导致操作中断，且任何单一参与者都无法单方面转移资金。在区块链支持的情况下，审批记录可在链上查看，从而生成易于验证的审计轨迹，并与政策执行及合规工作流程相契合。

当某位高管（或系统）发起转账时，必须由另一位高管（或系统）进行审核并共同签字，资金才能转出。这种内置的制衡机制与传统的公司治理结构相仿，因此多签名钱包既适用于机构管理、基金托管，也适用于去中心化自治组织（DAO）的财务运营。

为何机构更青睐多签名钱包而非单密钥解决方案

一个私钥即可完全掌控钱包。如果该密钥丢失或泄露，资产将永远丢失。既没有恢复选项，也无法联系客户支持。对于个人而言，这已经够糟糕了，但对于管理数百万资产的机构来说，这种单点故障是绝对无法接受的。 多签名安全架构通过将交易授权分散给多个独立签名人，消除了这一漏洞。单密钥风险得以消除，且即使某位签名人离线，系统仍能保持连续运行。

话虽如此，架构并不能替代治理。薄弱的流程和配置错误的签名流程仍可能带来安全风险。以 2025 年 2 月的事件为例 Bybit 事件，例如。一个以太坊（ETH）冷钱包中约有 15 亿美元被盗，这表明即使采用了多签名机制，运营和供应链方面的漏洞仍可能突破防御体系。

在保障机构资产安全方面，健全的治理结构和明确的政策与加密技术本身同样重要。

安全模型对比：MPC 与 多重签名

MPC 和多签名解决方案都旨在通过分布式控制来提高安全性，但它们采取的方法在根本上截然不同。

MPC（多方计算）钱包将单个私钥分割为加密的份额，每个参与方持有其中的一份。这些份额通过加密协议在链下组合起来以对交易进行签名，但完整的私钥从未在单一位置存在过。由于签名在链下进行，MPC 模型在跨链兼容性和隐私保护方面具有优势。

另一方面，多签名钱包则使用完全独立的私钥，这些私钥生成的独立签名通常直接记录在链上。这些清晰的审计轨迹带来了 MPC 解决方案所缺乏的透明度。

对于面临监管审查的机构而言，链上多签名（multi-sig）的透明治理模式具有不可估量的价值。审计人员可以核查各项交易是否遵循了正确的审批流程。相关证据原生存储于区块链上，这既能减少关于授权的争议，又能简化合规审查流程。

话虽如此，与任何系统或流程一样，多签名机制并非完美无缺。不同区块链的实现方式各不相同，且并非所有协议都原生支持该功能。机构在选择合适方案时，需要考虑其具体的资产配置情况。

了解多签名钱包的风险与局限性

虽然多签名钱包的风险远低于单密钥钱包，但并非为零。机构应充分考虑以下挑战，以维持强有力的安全防护。

• 密钥管理：若丢失密钥，资金可能会被永久锁定。如果两名密钥持有者丢失了硬件设备，即使第三把密钥仍处于安全状态，这种"三选二"机制的钱包也将无法使用。此外，界面或工作流程遭到篡改，也可能导致训练有素的团队误将恶意交易视为合法交易并进行联名签署。

• 安装和配置错误：此类错误可能会造成隐蔽的安全漏洞，如果实现不当，甚至可能导致灾难性的损失。在转移实质性价值之前，进行彻底的测试和独立审计是基本要求。

• 协调开销：在波动剧烈的市场中，迅速采取行动至关重要。若需逐一联系多位签署人，可能会错失良机。分级政策可起到帮助作用--例如，对小额转账设定较低的门槛，对大额转账设定较高的门槛--但这需要提前进行设计并实施持续的治理。

• 恢复计划：当密钥保管人离开组织或无法履行职责时，机构需要制定明确的流程来维持访问权限。这可能涉及安全的密钥轮换协议，或与持有备用密钥的托管合作伙伴合作。

• 监管与法律方面的考虑因素：多签名结构可能会使以下问题变得复杂： 资产所有权与控制权 在某些司法管辖区。一个良好的合规框架应预先解决这些细微差别。

尽管存在这些挑战，但只要实施得当，值得信赖的多签名钱包仍比许多替代方案安全得多。关键在于与了解机构需求的经验丰富的服务提供商合作。

适用于机构托管的可信多签名钱包解决方案

可靠的多元签名方案不仅需要技术知识。机构还需要 受监管的托管合作伙伴 能够可靠地提供完整解决方案的。

BitGo 的 钱包服务 在受监管、受保险且可审计的托管框架内整合多签名安全机制。客户可以在不牺牲控制权或合规要求的前提下，简化支付和数字资产存储流程。

正确的实施远不止于部署智能合约。机构需要健全的密钥生成机制、安全的备份方案、经过测试的灾难恢复协议，以及在出现问题时能提供有效支持的客户服务。归根结底，多签名方案的可靠性取决于其背后基础设施和交易对手的可靠性。

将多签名安全作为标准

数字资产托管已超越单一密钥模式，日趋成熟。如今，共同管控、合规对齐以及可验证的审计性构成了负责任的数字资产管理的基础。随着托管服务提供商不断改进用户体验并扩大对区块链的支持，目前尚存的少数权衡取舍将可能进一步减少。

对于真正重视保护数字资产的机构而言，多签名架构是一种审慎的默认选择。该技术将"通过分布式实现安全"、"通过透明度确保合规"以及"通过冗余提升韧性"三者相结合，这正是数字资产时代负责任的机构托管所遵循的准则。

常见问题解答

什么是多签名，它与单密钥钱包有何不同？

多签名钱包需要多个私钥才能批准一笔交易，通过减少单点故障来提高安全性。相比之下，单密钥钱包仅依赖一个私钥。如果该私钥丢失或被盗，资金将立即面临风险。

在安全性、隐私性和成本方面，多签名与多方计算（MPC）相比如何？

多签名机制通常将签名存储在链上，从而确保透明度、实现去中心化，并降低因单点故障而产生的风险。多方计算（MPC）则在链下生成签名，在提高隐私性和灵活性的同时降低成本。然而，MPC 的配置可能更为复杂，且依赖于中心化服务提供商。

我们应该选择哪种阈值配置（例如，3 选 2 与 5 选 3）？

请根据团队规模、风险承受能力以及冗余需求进行选择。"3 人中 2 人同意"的设置方案成本更低、更简单，但抗风险能力较弱。"5 人中 3 人同意"的设置方案虽然配置起来可能更复杂，但能提供更高的冗余性，即使有一至两名签署人无法访问，也不会影响控制权。

我们应该如何设计审批政策和工作流？

明确设定交易限额、按金额划分的必签人以及审批层级。尽可能利用智能合约或治理工具实现工作流自动化，确保每个步骤均可追溯，并符合内部合规政策。

如果签署人无法访问系统或离职，我们的恢复方案是什么？

明确记录恢复法定人数的流程。 将密封的备用密钥（或分片）交由受监管的托管方保管，并明确规定谁可以触发轮换、如何验证身份，以及重新授权新签名人所需的审批流程。将恢复材料离线存储并实施严格的访问控制，通过演练验证流程有效性，并保留可审计的变更记录。