多签名钱包的交易模型与签名规则

要点总结

• 多签名钱包通过专为机构用户设计的结构化、多审批人控制模型，取代了单点故障。

• 交易模型和签名规则定义了在实践中如何落实授权、治理和风险管理。

• 不同的多签名架构会根据运营需求，在速度、容错性和灵活性之间进行权衡。

• 对于机构工作流而言，策略执行层与加密签名同样重要。

• 设计良好的多签名框架能够支持可审计性、风险管理以及长期运营连续性。

多签名作为机构基础设施，而非理论构想

多签名钱包 多签钱包通常被介绍为对单密钥钱包的一种简单安全升级。对于机构运营商而言，这种表述并不全面。多签钱包不仅仅是一种简单的加密配置，而是一种运营模式，它决定了资产如何流动、谁拥有决策权，以及在现实世界的约束条件下如何管理风险。

机构重视安全性、控制、风险管理和业务连续性。多签名（Multisig）的设计选择会直接影响这四个方面。了解这些组件如何相互配合，对于机构设计具有韧性的托管和资金运营至关重要。

什么是多签名钱包？简要概述

多签名钱包是一种数字资产钱包，需要多个加密签名才能授权一笔交易。它不再由单一私钥控制资金，而是涉及多个独立密钥，并根据预先设定的阈值来确定执行某项操作需要多少个密钥批准。

最常见的结构是"M$-of-N"模型。其范围从要求所有密钥（N-of-N）到达到特定阈值不等。 在"2-of-3"钱包中，存在三个不同的密钥，必须由其中任意两个进行签名，交易才算有效。这种结构降低了对任何单个个人、设备或系统的依赖，同时也支持跨团队或实体之间的共享控制。

从结构上讲，多签名钱包与单密钥钱包在权限分配方式上有所不同。单密钥钱包将访问权限和风险都集中管理，而多签名钱包则有意将二者分离。这种分离使得双重审批、职责分离和灾难恢复计划等内部控制措施成为可能。

对于机构而言，多签名是基础性基础设施。它构建了一个治理、政策和密码学协同运作的框架。在此基础上，可以构建更先进的交易模型和审批工作流。

多签名在实际中是如何运作的？

实际上，多签名钱包是在一个既定的交易生命周期内运行的。首先，通常由授权的操作员或系统提出一笔交易。随后，该交易提案将由规定数量的签名人进行审核和批准。一旦达到阈值，交易就会被广播到网络上，并在链上最终确认。

多签名（Multisig）的实现方式因区块链和架构而异。在比特币中，多签名是通过脚本条件在协议层面上原生实现的，通常被称为 比特币原生多签名。在以太坊和其他智能合约平台上，多签名逻辑通常通过管理签名人集合和阈值的智能合约来实现。一些机构系统还会添加链下策略引擎，在生成任何签名之前协调审批流程。

谁持有密钥与密钥的数量同样重要。密钥可能分布在内部团队、外部托管方或地理位置分散的环境中。角色通常会进行区分，因此提出交易与批准或执行交易并非同一回事。

每种模型都存在取舍。链上多签名机制具有透明和简便的特点；基于智能合约的多签名机制则具备灵活性和可编程性；链下政策层虽然增加了可控性和可审计性，但也带来了额外的系统复杂性。机构会根据自身的风险承受能力、运营规模以及风险管理义务来选择合适的模型。

签名规则：定义权限与控制

签名规则规定了谁可以批准交易、在何种条件下批准以及采用何种组合方式批准。诸如"3 人中 2 人同意"或"5 人中 3 人同意"之类的阈值，体现了治理和风险管理政策。

较低的阈值通常能加快操作速度，但会降低容错能力。较高的阈值则能提高系统韧性和可监控性，但可能会减慢执行速度。各机构必须在运营效率与安全及业务连续性之间取得平衡。

签字规则还规定了决策权限。ある機関では、运营部门和合规部门各需一人签字；另一些机构则可能涉及安全团队或外部受托人。这些规则旨在落实职责分离，并降低单方面行动的风险。

重要的是，签名规则应随着组织需求的变化而调整。随着团队规模扩大、管辖范围变化或监管要求扩大，阈值和签名人范围必须具备灵活性。将签名配置视为静态设置而非动态政策，是机构常犯的一个错误。

常见的多签名交易模型

几个 多签名交易模型 在机构环境中被广泛使用。

"三密钥中的两把"托管模式是最常见的模式之一。通常情况下，其中一把密钥由客户持有，一把由托管方持有，另一把则由备用或托管机构持有。该模式在客户控制权与机构保障措施及恢复方案之间取得了平衡，通常通过受监管的 托管钱包。

"5 人中 3 人"的治理模式常用于内部财务或协议运营。密钥可能分配给运营、安全、合规以及高管等利益相关方。这种结构支持跨部门审批，并降低了对任何单一职能的依赖。

基于阈值的智能合约模型在可编程区块链中很常见。这些模型支持动态签名人集、基于角色的权限以及与链上逻辑的集成。它们功能强大，但需要精心设计和持续监控。

每种模型在速度、容错性、策略灵活性和韧性之间都存在权衡。机构在选择交易模型时，还必须考虑灾难恢复场景，例如签名人不可用或密钥泄露等情况。

策略执行与交易工作流

仅靠加密签名不足以实现机构治理。政策执行层定义了签名的使用方式和时机。

策略引擎位于交易意图与密钥使用之间。它们负责执行诸如支出限额、审批延迟、基于角色的访问控制以及目标白名单等规则。这些功能通常通过编程方式实现，具体方式包括 钱包即服务 将政策执行直接整合到交易工作流中的解决方案。

即使某笔交易满足签名阈值要求，但若违反政策，仍可能被阻止。签名与政策审批之间的这一区别至关重要。签名在协议层面对交易进行授权，而政策则决定是否允许在最初阶段应用这些签名。

对于机构而言，链下政策执行能够确保不同团队和司法管辖区之间的一致性。它还能生成审计轨迹，以证明符合内部控制要求和监管预期。如果没有政策层，多签名钱包可能会成为运营瓶颈或治理盲点。

多签名中的限制和边界情况

虽然多签名机制提高了安全性，但也带来了自身的运营挑战。密钥丢失或泄露可能会导致可用签名人的数量低于要求的阈值。当签名人因出差、人员变动或突发事件而无法参与时，可能会出现协调失灵的情况。

某些多签名方案的升级较为困难。更改签名人集或阈值可能需要进行复杂的迁移操作，或执行存在风险的链上交易。必须仔细规划治理变更，以避免意外被锁定。

必须提前处理诸如密钥被撤销、紧急访问或组织重组等边际情况。未能对这些场景进行建模的机构，往往会在压力时期发现系统中的薄弱环节。

基于这些原因，一些机构正在评估替代性或补充性方法，包括 多方计算，用于特定的使用场景。替代方案的存在反映了生态系统的成熟度，而非多签机制本身的缺陷。

多签名与风险管理

多签名架构与监管机构对内部控制和受托责任的期望高度契合。多重审批机制有助于实现职责分离，并降低资产被擅自转移的风险。

可审计性是另一项关键优势。多签名交易会生成清晰的记录，明确显示谁在何时批准了什么。结合政策日志，这些数据可为内部审计和外部审查提供支持。

许多风险管理框架都要求采用多审批人流程。诸如 SOC 2 等标准以及 加密货币安全标准 强调访问控制、审批流程和监控。多签名机制为满足这些要求提供了技术基础。

对于受监管实体而言，多签名机制有助于将监管义务转化为可执行的运营规则。

BitGo 如何实现安全、基于策略的多签名架构

BitGo 提供专为应对现实世界中的运营复杂性而设计的机构级多签名基础设施。该公司通过受监管的实体、合格托管服务以及可配置的政策控制来支持多签名功能。

BitGo 的架构将密钥管理与策略执行分离，从而能够实现细粒度的审批工作流，同时避免引入单点故障。安全的密钥存储、基于角色的权限控制以及透明的审计日志，既保障了运营效率，又满足了合规要求。

BitGo 并未将多签名视为一项功能，而是将其定位为更广泛的托管和交易框架的一部分。这种方法使机构能够设计出能够随着需求的变化而扩展、适应并保持韧性的治理模型。

为什么选择 BitGo

机构需要一种能够兼顾安全、治理和监管要求，同时又不牺牲运营透明度的基础设施。BitGo 提供了相关工具，用于实施能够真实反映机构实际运营方式的多签名交易模型和签名规则。

凭借十余年支持受监管数字资产工作流的经验，BitGo 可在托管和交易全生命周期内实现基于政策的控制、可审计性和韧性。

常见问题解答

什么是多签名加密钱包？

多签名加密钱包需要多个加密签名才能授权一笔交易。它将控制权分散到多个密钥上，而不是依赖单一的私钥。

诸如"M-of-N"之类的常见多签名交易模型是如何运作的？

M-of-N 模型规定了在总密钥集中需要多少个签名。在"2-of-3"钱包中，三把授权密钥中必须有任意两把批准交易。

机构应如何设计有效的多签名规则和政策？

各机构应使阈值与治理结构保持一致，落实职责分离，并利用多层政策来控制签名的应用方式。

多签名钱包和 MPC 钱包之间存在哪些权衡？

多签名（Multisig）依赖于不同的密钥和阈值，而多方计算（MPC）则将密钥素材分布在各参与者之间。这两种方法在灵活性、恢复能力和操作复杂性方面各有不同影响。

多签名机制如何支持治理和运营控制？

多签名机制可强制执行多审批人流程、生成审计轨迹并减少单点故障，从而同时支持内部治理和合规要求。