У семейных денег есть старая болезнь, которую крипта не лечит сама по себе — она её только обостряет. Один счёт, один доступ, один человек, у которого фактически есть право вето над общим будущим. В банке эту проблему хоть как-то сглаживает сам банк: нужна подпись обоих супругов, есть бумажный след, есть кому пожаловаться. В кошельке с одним приватным ключом нет ничего. Есть человек с ключом — и есть все остальные, чья доля в общих сбережениях существует только пока этот человек честен, жив и не под давлением.

Это не гипотетика. Пары разводятся и один партнёр выводит всё за час до звонка адвокату. Взрослые дети продавливают пожилых родителей отдать доступ «для безопасности». Один зависимый родственник в дурной период опустошает то, что копилось десять лет. Хакер, выманивший одну seed-фразу, забирает не долю семьи — забирает всё сразу, потому что вся семья хранилась за одним замком. Мультиподпись — это не про технологии ради технологий. Это про то, чтобы ни один человек в семье, включая тебя самого, не мог в одиночку решить судьбу общих денег.

Что на самом деле не так с одним ключом

Один ключ — это не удобство, это концентрация власти, замаскированная под удобство. Он одновременно и слишком уязвим (украдут — потеряно всё), и слишком централизован (держатель может действовать без согласия остальных, случайно или намеренно). Семья, которая держит сбережения на одном ключе — будь то бумажник мужа, телефон жены или аккаунт на бирже, — на самом деле не владеет деньгами совместно. Она владеет ими последовательно: пока держатель ключа не решит иначе.

Наша запись: система Маат не про мораль отдельного человека, а про инженерию — так устроить процесс, чтобы паразитизм одного узла не мог обрушить целое. Весы Маат взвешивают сердце против пера не потому, что сердцу нельзя доверять в принципе, а потому что ни одному сердцу нельзя доверять единолично, без противовеса. Мультиподпись — это Весы, реализованные в протоколе: решение о судьбе сбережений принимается не одним сердцем, а согласием нескольких.

Как это работает без магии

Мультиподписный (multisig) кошелёк требует не один ключ для подтверждения транзакции, а несколько из заранее назначенного набора — формат M-из-N. Кошелёк 2-из-3 означает: есть три ключа, и любые два из них вместе могут двигать средства, а любой один — нет. Кошелёк 3-из-5 — то же самое, но с пятью ключами и порогом в три. Ни кража одного ключа, ни потеря одного ключа не блокирует и не компрометирует всё целиком.

Это принципиально другая архитектура, чем «общий пароль от одного аккаунта», где все просто знают один и тот же секрет. В мультиподписи каждый держит свой собственный ключ, и математика кошелька — а не чьё-то доверие или разрешение — решает, сколько согласий нужно для действия. Никто не может тайно исключить остальных из процесса, потому что без нужного числа подписей транзакция физически не подписывается.

Распредели роли, а не просто ключи

Вот где большинство семей делает всё формально правильно и всё равно проваливается: раздают ключи, не думая о ролях. Ключ — это не должность. Нужно решить, кто предлагает операции, кто подтверждает, и что происходит, когда согласия нет.

Рабочая схема для большинства семей — 2-из-3: один ключ у одного родителя, второй — у другого, третий — у нейтральной третьей стороны (взрослый ребёнок, которому доверяют оба, семейный юрист, или второй, физически отдельный носитель — аппаратный кошелёк в банковской ячейке). Ни один из двух родителей не может в одиночку опустошить сбережения — при разводе, ссоре или ошибке потребуется либо согласие второго, либо привлечение третьей стороны с очевидным вопросом «а зачем». Для семей с более крупными суммами и более взрослыми детьми работает 3-из-5: оба родителя, один или два взрослых ребёнка, и один внешний хранитель — с порогом в три эта схема выдерживает недоступность сразу двух держателей.

Отдельно реши практический вопрос: не всё требует одинаковой строгости. Небольшие текущие траты семьи можно вывести в отдельный, менее защищённый кошелёк с одной подписью — под чёткий лимит. Мультиподпись бережёт сбережения, а не каждую покупку продуктов; смешивать эти два слоя — верный способ, что семья либо забросит систему от неудобства, либо начнёт обходить её «для скорости», а обход и есть та самая единая точка отказа, от которой вы уходили.

Против чего это на самом деле защищает

Люди настраивают мультиподпись, думая в основном о хакере. Но для семьи вторая угроза не менее реальна — это не внешний враг, а внутреннее давление: развод, зависимость, манипуляция, паника одного члена семьи в плохой момент. Мультиподпись одинаково хорошо держит и то, и другое, потому что не различает источник давления — она просто требует согласия нескольких сторон вне зависимости от того, кто и почему просит открыть замок в одиночку.

Это неудобно ровно настолько, насколько и должно быть. Тот, кто предлагает вывести половину семейных сбережений одним вечером без разговора с остальными, — это ровно тот сценарий, ради которого порог и существует. Хорошая мультиподпись не мешает семье договориться и действовать вместе. Она мешает одному человеку действовать за всех.

Настройка: шаги, которые нельзя пропускать

  1. Договоритесь о пороге и держателях до того, как заведёте кошелёк. Кто держит ключи, какой порог (2-из-3 для большинства, 3-из-5 для более сложных семей), и что происходит при конфликте между держателями — обсудить это на словах сложнее, чем настроить технически, но именно тут проваливаются планы.
  2. Разнесите ключи физически и технически. Разные устройства, разные локации, в идеале — разные типы носителей (аппаратный кошелёк, зашифрованный файл, бумажная резервная копия у третьей стороны). Один взломанный телефон не должен ставить под угрозу два ключа сразу.
  3. Задокументируйте протокол согласия. Не только «кто держит ключ», но и «как мы согласовываем операцию» — общий чат, звонок втроём, фиксированное правило «крупная сумма — минимум сутки на обсуждение». Технология даёт порог; семья должна дать процесс.
  4. Проверьте на малой сумме. Проведите реальную транзакцию с реальным порогом подписей до того, как доверите схеме что-то серьёзное. Кошелёк, который «должен сработать» — это не то же самое, что кошелёк, который сработал у вас на глазах.
  5. Пересматривайте состав держателей по мере жизни семьи. Дети взрослеют, доверие к третьим лицам меняется, отношения заканчиваются. Мультиподпись — не решение навсегда, а живая структура, которую пересобирают.

Сделай сегодня

Не настраивай сегодня весь кошелёк — начни с разговора, без которого настройка бессмысленна. Собери тех, с кем делишь сбережения, и задай один вопрос вслух: «Если бы прямо сейчас кто-то из нас один мог вывести всё — устроило бы нас это?» Если ответ «нет» — вы уже знаете, зачем вам порог 2-из-3 или 3-из-5, и с этого разговора, сегодня же, можно начать список: кто держит какой ключ.