Carteira MPC vs Multisig: qual custódia é mais segura?

Que problema é que a MPC e a multisig tentam realmente resolver?

Se controla uma única chave privada, controla os fundos. Perca a chave, e os fundos desaparecem. Tenha a chave roubada, e os fundos desaparecem. Para um amador que detém algumas centenas de dólares, uma carteira hardware e backups disciplinados são geralmente suficientes. No momento em que entram em jogo valores mais elevados, um negócio ou um controlo partilhado, esse ponto único de falha torna-se desconfortável. Surgem então duas perguntas: quem tem autorização para movimentar os fundos, e o que acontece se uma dessas pessoas for comprometida, desaparecer ou simplesmente cometer um erro?

A multisig (abreviatura de "multi-signature") e a MPC (abreviatura de "multi-party computation") são duas respostas diferentes a essas perguntas. Partilham o mesmo objetivo, que é tornar uma única chave, pessoa ou dispositivo insuficiente para movimentar fundos, mas chegam a esse objetivo por mecanismos muito diferentes. Compreender esses mecanismos é o que separa uma decisão de custódia defensável de uma decisão de marketing.

Como funciona a multisig, em linguagem simples

Uma carteira multisig é uma carteira que exige assinaturas M-de-N para transmitir uma transação válida. Por exemplo, uma configuração "2-de-3" significa que existem três chaves independentes, e qualquer duas delas têm de assinar antes de os fundos serem movidos. A regra é imposta pela própria blockchain: na Bitcoin, o script P2SH original (e mais tarde o P2WSH) bloqueia os fundos atrás de um script que verifica literalmente o limiar de assinaturas. Na Ethereum, o equivalente é uma carteira de contrato inteligente como a Safe (antiga Gnosis Safe), onde as regras de gasto vivem em código de contrato auditado em vez de no Bitcoin Script.

Como cada assinatura provém de uma chave privada separada e totalmente formada, cada signatário pode estar em air-gap, ser detido por uma pessoa diferente, armazenado num dispositivo diferente num país diferente, e operado num sistema operativo diferente. Nenhum comprometimento de um único dispositivo, nenhum funcionário coagido e nenhuma frase-semente perdida podem, por si só, drenar a carteira. O trade-off é a fricção: alguém tem de coordenar os signatários, e as transações on-chain são ligeiramente maiores e mais caras porque os dados de assinatura crescem com o número de signatários.

Rodar signatários é também uma ação transparente e on-chain. Precisa de despedir um gestor de tesouraria? Mova os fundos para uma nova multisig que exclua a chave dele. Perdeu uma carteira hardware? Substitua o lugar dela no limiar usando uma transação on-chain padrão. Cada alteração é auditável num explorador de blocos para sempre.

Como funciona o MPC, em linguagem simples

As carteiras MPC utilizam um ramo da criptografia chamado computação multipartidária para dividir uma única chave privada em várias "partes" que são distribuídas entre partes (dispositivos, servidores ou pessoas). A parte engenhosa: a chave completa nunca é reconstruída num único local, nem mesmo durante a assinatura. Em vez disso, as partes executam um protocolo em conjunto, de modo que cada uma contribui com uma assinatura parcial, e o resultado é uma assinatura com aparência normal na cadeia. Para a blockchain, uma transação assinada por MPC é indistinguível de uma transação assinada por uma carteira normal de chave única.

A maioria dos esquemas MPC modernos de carteiras baseia-se em esquemas de assinatura por limiar, como GG20/GG20+ do ECDSA, EdDSA por limiar para cadeias como Solana, e esquemas baseados em Schnorr para Bitcoin através de protocolos como FROST. A divisão é invisível para terceiros. Não há script de multisig, nem contrato inteligente, nem qualquer rasto na cadeia que indique que mais de uma parte esteve envolvida.

Para o utilizador, o MPC geralmente parece uma aplicação de carteira normal, com um fluxo de recuperação familiar. Nos bastidores, os servidores do fornecedor, o dispositivo do utilizador e, por vezes, uma parte de backup cooperam para produzir as assinaturas. A recuperação e a rotação de chaves acontecem através da execução de uma nova cerimónia de "redistribuição", que gera partes novas sem nunca expor a chave subjacente, e invalida as partes antigas.

Quais são os riscos reais de cada abordagem?

Ambas as configurações reduzem o risco de ponto único de falha de uma carteira normal, mas cada uma introduz novos riscos próprios. Saltar os folhetos de marketing e observar o que de facto falhou na prática é mais útil do que qualquer tabela de comparação de funcionalidades.

Riscos do multisig que deve levar a sério

O maior risco não óbvio do multisig é a comprometização coordenada dos signatários. O hack da ponte Ronin em 2022, que drenou cerca de 625 milhões de dólares, foi efetivamente um multisig 5 de 9 cujos signatários estavam agrupados entre um pequeno grupo de validadores que um atacante comprometeu um a um. O desenho do limiar estava correto no papel; a realidade operacional era que demasiadas chaves viviam no mesmo raio de explosão organizacional.

Outros modos de falha recorrentes incluem cerimónias de assinatura mal concebidas (signatários a transmitir transações parcialmente assinadas a partir da mesma rede), conluio entre signatários (especialmente em DAOs pequenas onde o mesmo punhado de pessoas controla todas as chaves) e falhas ao nível da cadeia na implementação do contrato inteligente. O próprio Safe foi extensamente auditado, mas variantes e forks herdam menos escrutínio. No Bitcoin, o risco é mais simples: um script mal construído pode bloquear fundos permanentemente, e alterar o conjunto de signatários requer uma nova transação na cadeia que tem custos e é visível para toda a gente.

Riscos do MPC que deve levar a sério

Os riscos do MPC residem sobretudo no software e nas operações, porque a criptografia em si não corre numa cadeia. Uma implementação defeituosa pode vazar material da chave através das partes, e esquemas históricos foram quebrados. Protocolos iniciais de threshold-ECDSA tinham bugs subtis de comportamento em caso de interrupção; alguns artigos de investigação de 2020 a 2022 descobriram formas de extrair informação parcial da chave observando mensagens do protocolo ao longo de muitas sessões de assinatura. Fornecedores reputados utilizam esquemas modernos, auditorias formais e investigação contínua, mas o ónus da prova recai sobre a implementação, não sobre a blockchain.

Depois há o risco operacional do próprio fornecedor. O MPC é esmagadoramente entregue como um serviço, o que significa que o cliente está a confiar nos servidores, nos funcionários e no pipeline de atualizações do fornecedor. Quando um fornecedor de custódia é violado, os danos são concentrados. Houve múltiplos incidentes na indústria de custódia em geral, incluindo casos de grande repercussão em fornecedores de custódia terceiros e em exchanges, onde os atacantes visaram especificamente a infraestrutura do fornecedor em vez dos utilizadores individuais. O exemplo recente mais catastrófico é o colapso da FTX em 2022, onde uma stack de custódia que combinava carteiras quentes, multisig e vários controlos internos falhou porque os controlos humanos e empresariais à volta deles colapsaram, não porque a criptografia tenha falhado.

Por fim, há uma questão estrutural: com o multisig na cadeia, a regra de gasto é pública e autoexecutável. Com o MPC, a regra vive dentro da stack de software do fornecedor. Se o fornecedor desaparecer, o utilizador fica dependente do procedimento de recuperação do esquema, da qualidade da documentação e da abertura do protocolo subjacente. Alguns sistemas MPC são de código aberto e reproduzíveis, mas muitos não são.

Como se comparam no suporte de cadeias, recuperação e rotação?

A compatibilidade de cadeias é a diferença quotidiana mais visível. O Bitcoin suporta multisig nativo ao nível do script e agora suporta Taproot, que faz com que as transações multisig pareçam transações de assinatura única na cadeia (bom para privacidade e taxas), continuando a exigir várias assinaturas Schnorr nos bastidores. O Ethereum não tem um opcode de multisig no mesmo sentido; tem carteiras de contratos inteligentes, das quais o Safe é o padrão dominante. Outras cadeias variam: a Solana, por exemplo, não tem multisig nativo na cadeia no sentido do Bitcoin e historicamente exigiu um programa de multisig ao nível do protocolo ou uma abordagem baseada em contrato inteligente.

O MPC, pelo contrário, é agnóstico em relação à cadeia. Como a blockchain só vê uma assinatura padrão, a mesma configuração MPC pode assinar para BTC, ETH, SOL e qualquer outra cadeia que utilize um esquema de assinaturas compatível. Para organizações que precisam de custodiar muitos ativos em muitas cadeias, isto é uma simplificação operacional real. Os utilizadores de multisig costumam executar várias configurações de multisig em paralelo, uma por cadeia, com as suas próprias particularidades e procedimentos de signatários.

A recuperação e a rotação de signatários contam a história oposta. Com o multisig, substituir um signatário perdido é uma ação na cadeia: uma nova transação move os fundos para uma nova carteira que reconhece o novo conjunto de chaves. É visível, auditável e autónoma. Com o MPC, a rotação exige que as partes executem uma nova cerimónia de geração distribuída de chaves ou de redistribuição, invalidando depois as partes antigas. Feita bem, é invisível e rápida. Feita mal, ou com um fornecedor que tenha alterado o seu software de formas que partem a cerimónia antiga, pode ser um processo frágil, manual e offline que depende de documentação que pode ou não existir dois anos depois.

Que configuração se adequa a que tipo de utilizador?

Não existe uma resposta universalmente "mais segura". A escolha certa depende de qual ameaça mais o preocupa e de quanta complexidade operacional consegue realmente absorver.

Utilizadores individuais e pequenos detentores. Para um indivíduo que vai além de uma única hardware wallet, o MPC é frequentemente a opção pragmática por defeito: é mais fácil de utilizar, suporta mais cadeias e tende a integrar-se com carteiras móveis e de browser, onde o multisig na cadeia seria desajeitado. A maior precaução é escolher um fornecedor de MPC cujo esquema esteja documentado, auditado e, idealmente, seja de código aberto, e perceber exatamente como a recuperação funciona antes de colocar fundos lá.

DAOs e pequenas tesourarias. Um Safe em Ethereum (ou um multisig nativo em Bitcoin) é normalmente a opção mais defensável para uma tesouraria que queira que cada regra de gasto seja visível num explorador de blocos. Signatários independentes em jurisdições diferentes, em dispositivos diferentes, sem empregador ou fornecedor comum, dão-lhe a máxima separação de raio de explosão. A falha da Ronin é a lição: o limiar criptográfico não é a parte difícil; a independência operacional dos signatários é.

Mesas de trading ativo e tesourarias institucionais. Aqui o MPC ganha frequentemente em expressividade de políticas: papéis, limites de gasto, time-locks, endereços permitidos, rotação automática de chaves e fluxos de aprovação são todos mais fáceis de expressar num produto de custódia do que num script estático na cadeia. O trade-off é que está agora a confiar numa stack de um fornecedor, pelo que a lista de verificação de procurement parece mais uma revisão de software empresarial (relatórios SOC 2, testes de penetração, certificações de gestão de chaves, seguros, continuidade de negócio) do que uma verificação cripto-nativa.

Utilizadores com requisitos estritos de soberania. Se "nenhuma terceira parte pode, em qualquer circunstância legal ou técnica, mover os meus fundos" é um requisito rígido, o multisig na cadeia aproxima-se mais desse ideal. A regra é imposta pela cadeia, não por uma empresa que pode ser intimada, adquirida ou encerrada.

Como escolher sem cair no marketing dos fornecedores

O exercício mais útil antes de escolher uma configuração de custódia é anotar três coisas: que ativos, em que chains, controlados por quem, com que história de recuperação se um assinante for perdido. As respostas costumam tornar a decisão óbvia. Uma tesouraria multi-chain com transações frequentes e políticas ativas terá dificuldade com a fricção do multisig on-chain. Uma configuração de cold storage de longo prazo em Bitcoin ou Ethereum terá dificuldade em encontrar qualquer razão para assumir as dependências de software e fornecedor do MPC.

Também vale a pena testar as afirmações dos fornecedores sob pressão. "Não-custodial" é mais uma palavra de marketing do que técnica. As perguntas relevantes são: quem pode realizar a cerimónia de assinatura, o que acontece se o fornecedor desaparecer amanhã, se o protocolo MPC subjacente é aberto e reproduzível, e se as implementações foram auditadas e estudadas de forma independente ao longo do tempo. Um fornecedor que consegue responder às quatro com especificações concretas é mais raro, e mais fiável, do que uma apresentação comercial que usa a palavra "institucional" em cada slide.

Por fim, trate a custódia como defesa em profundidade. Nem o multisig nem o MPC eliminam a necessidade de isolamento de chaves ao nível da hardware wallet, revisão de transações, allowlists de endereços e procedimentos humanos em torno da assinatura. A criptografia define o piso. A disciplina operacional das pessoas que a utilizam define o verdadeiro teto.

Como acompanhar as mudanças na custódia de forma inteligente

A tecnologia de custódia evolui rapidamente: novos esquemas de assinatura threshold, novos módulos Safe, novos fornecedores de MPC e novas falhas de segurança de grande repercussão chegam ao ciclo noticioso, sendo que a maior parte da cobertura é financiada por fornecedores ou superficial. Distinguir que desenvolvimentos são realmente relevantes e quais são marketing reapresentado é, por si só, um trabalho. A Zippfeed destaca notícias sobre wallets e custódia com pontuação de sentimento, bullish, neutral ou bearish, e uma classificação de importância, para que possa distinguir atualizações de protocolo relevantes e divulgações de falhas do ruído, antes que afetem a sua própria configuração.