O que um quórum multisig controla de facto
Uma carteira multisig é um endereço de Bitcoin, Ethereum ou de uma cadeia EVM cujas regras de gasto estão codificadas na própria cadeia, e não numa única chave privada. Em vez de bastar uma assinatura, o script on-chain (Bitcoin) ou o contrato inteligente (Ethereum, frequentemente um Safe) exige um número mínimo de assinaturas distintas de um conjunto fixo de signatários aprovados. Esse mínimo é o quórum, normalmente escrito como M-de-N, em que N é o número total de signatários autorizados e M é o limiar que tem de assinar antes de qualquer transação ser válida.
Pense em N como a lista de signatários e em M como a regra que define o que conta como uma decisão válida. Um 2-de-3 significa que quaisquer dois dos três elementos da lista podem movimentar fundos. Um 3-de-5 significa que quaisquer três de cinco. Um 4-de-7 significa que quaisquer quatro de sete. A parte interessante não é o M em si; é o que acontece ao M quando a lista diminui na vida real, porque as pessoas perdem hardware wallets, esquecem seed phrases, são hospitalizadas, morrem ou simplesmente deixam de responder a mensagens.
É por isto que a escolha do quórum é um problema de sobrevivência disfarçado de definição de segurança. Se três dos seus sete signatários desaparecerem, a sua carteira continua a funcionar, porque o 4-de-7 só precisa de quatro signatários ativos. Se dois dos seus três signatários desaparecerem, o seu 2-de-3 fica congelado para sempre, porque nenhuma combinação de um signatário restante consegue atingir um limiar de dois. O limiar não é uma propriedade estática da carteira; é um alvo móvel que depende de quem ainda está vivo, lúcido e disponível para assinar.
Matemática-chave das perdas: sobrevivência binomial para um conjunto de signatários
A forma mais clara de pensar sobre a escolha do quórum é modelar cada signatário como independente e perguntar: "qual é a probabilidade de pelo menos M dos meus N signatários ainda conseguirem assinar após algum evento de perda?" Isso é uma soma de caudas binomial, e pode ser feita à mão para os valores pequenos de N que importam na prática.
A fórmula é simples. Para cada número possível de signatários perdidos k (de 0 até N menos M), calcula-se a probabilidade de exatamente k signatários serem perdidos e M ou mais continuarem disponíveis, e depois somam-se essas probabilidades. Uma aproximação viável para eventos de perda raros e independentes é: a probabilidade de sobrevivência é igual à soma dos termos binomiais em que o número de signatários sobreviventes é maior ou igual a M.
Os números concretos tornam isto menos abstrato. Suponha que cada signatário tem 5% de probabilidade anual de ficar permanentemente incapaz de assinar, seja por perda de chave, morte ou ficar offline para sempre. Estes são eventos independentes, o que é uma idealização que será relaxada mais à frente, mas dá uma base de partida.
- 2-de-3, um signatário perdido: a probabilidade de exatamente um signatário ser perdido é cerca de 13,5%, e com um perdido sobram dois signatários ativos, pelo que a carteira sobrevive esse ano.
- 2-de-3, dois signatários perdidos: a probabilidade de dois ou mais serem perdidos é cerca de 0,36% por ano, mas nesse caso a carteira fica congelada, porque um signatário ativo não atinge o limiar de dois.
- 3-de-5, três signatários perdidos: a probabilidade de três ou mais serem perdidos é cerca de 0,6% por ano, sob a mesma hipótese, e três perdidos deixam dois, abaixo do limiar, pelo que a carteira fica congelada.
- 4-de-7, três signatários perdidos: a probabilidade de três ou mais serem perdidos é cerca de 1,2% por ano, mas como o limiar é quatro, pode perder três e ainda assim assinar, pelo que a carteira é muito mais resiliente.
Num horizonte de cinco anos, estas probabilidades anuais acumulam-se. Um 2-de-3 tem cerca de 1,8% de probabilidade de ficar congelado em cinco anos sob perdas independentes, o que parece pouco até nos lembrarmos de que congelado significa irrecuperável sem o regresso do signatário em falta. Um 3-de-5 tem cerca de 3% de probabilidade de cair abaixo do limiar no mesmo período, paradoxalmente pior do que o 2-de-3 para o mesmo aumento de N, porque o limiar também escala. Um 4-de-7 tem cerca de 6% de probabilidade de perder três signatários, mas continua utilizável porque o limiar é quatro. Esta assimetria está no centro do design M-de-N: aumentar N sem também aumentar M pode reduzir a sua janela utilizável.
2 de 3 vs 3 de 5 vs 4 de 7: compromissos reais
A maioria das equipas escolhe um limiar por intuição. Para valores pequenos, pode servir, mas os compromissos são suficientemente concretos para justificar uma escolha deliberada.
Multisig 2 de 3
Um esquema 2 de 3 é a configuração clássica de "tesouraria pessoal", popular entre detentores individuais e pequenas DAO. Tolera a perda de exatamente um signatário sem bloquear, o que lhe confere uma propriedade útil: qualquer falha isolada de uma hardware wallet, perda de seed ou signatário ausente é recuperável. A desvantagem é que um atacante ou alguém que exerça coerção só precisa de comprometer dois signatários, e a superfície de ataque de dois dispositivos, duas pessoas ou duas cópias na nuvem é reduzida.
Para um indivíduo que utiliza as três posições de signatário, um padrão comum é um signatário numa hardware wallet guardada em casa, outro numa hardware wallet guardada num cofre bancário, e um terceiro na posse de um familiar ou advogado de confiança. Isto oferece diversidade geográfica e de dispositivos com baixo custo de coordenação. O risco é que o terceiro de confiança possa ser manipulado por engenharia social, intimado judicialmente ou simplesmente mudar de ideias.
Multisig 3 de 5
Um esquema 3 de 5 é o cavalo de batalha para tesourarias sérias. Tolera a perda de até dois signatários, uma redundância significativa tanto contra perdas acidentais como contra a colusão de um signatário comprometido com outro. O limiar de três eleva também o custo de um ataque: um adversário passa a necessitar de comprometer três ambientes de signatário distintos.
O compromisso está na coordenação. Cinco pessoas, cinco dispositivos, cinco planos de cópia de segurança, cinco pontos onde alguém está de férias, doente ou incontactável. Se o seu quórum é três e costuma ter apenas dois signatários disponíveis com pouca antecedência, a carteira torna-se praticamente inutilizável, embora continue tecnicamente ativa. É aqui que o esquema M-de-N deixa de ser matemática e passa a ser operações.
Multisig 4 de 7
Um esquema 4 de 7 é território institucional. Tolera três signatários perdidos, uma margem generosa para tesourarias de longa duração, rotatividade de colaboradores numa fundação pequena ou family offices onde mudam as gerações. O custo é que obter quatro assinaturas com urgência é difícil, e a dinâmica política de "quem são os sete" torna-se uma verdadeira questão de governação.
Para valores de N maiores, a tentação de "acrescentar mais um signatário" é forte, e é precisamente o erro de design que este artigo tem vindo a alertar. Aumentar N de cinco para sete mantendo M em três aumenta a tolerância à perda, mas também alarga a superfície de ataque e torna a coordenação mais lenta. O ajuste correto quando se adiciona um signatário é, normalmente, aumentar também M; caso contrário, a carteira torna-se mais fácil de atacar relativamente à sua resiliência.
Riscos que a matemática por si só não capta
A sobrevivência binomial assume independência, e em configurações reais de cripto, as falhas dos signatários estão altamente correlacionadas. É essa a parte que a maioria dos guias ignora, e é aí que as carteiras efetivamente morrem.
Concentração geográfica e de fornecedor
Se os seus cinco signatários utilizam todos dispositivos Trezor, um único ataque à cadeia de fornecimento ou falha de firmware pode comprometer os cinco. Se os cinco signatários vivem no mesmo país, uma catástrofe natural, crise política ou mudança de regime legal pode eliminar o quórum de uma só vez. Se as cinco cópias de segurança estão guardadas no iCloud, o comprometimento de um único Apple ID expõe tudo.
A solução passa pela diversidade em pelo menos três eixos: fabricante do dispositivo, localização física e, idealmente, jurisdição legal. Dois signatários com Ledger, dois com Trezor, um com um dispositivo air-gapped Keystone, todos em cidades diferentes e, idealmente, países diferentes, é mais resiliente do que cinco configurações idênticas no mesmo escritório, mesmo que a matemática as trate como equivalentes.
Ferramentas de coordenação de ponto único
Um número surpreendente de multisigs "distribuídos" colapsa num ponto único de falha através da sua camada de coordenação. Se a sua tesouraria 3 de 5 usa um grupo Telegram partilhado para decisões de assinatura e o telemóvel do administrador do grupo for apreendido, os restantes signatários podem nem sequer saber que existe uma transação pendente. Se o seu Safe utiliza um único Relayer ou um único endpoint RPC, esse endpoint torna-se um ponto fraco de falha, mesmo que as chaves estejam distribuídas.
A regra prática é que os canais de coordenação devem ser, no mínimo, tão distribuídos quanto os próprios signatários e, idealmente, ainda mais. Email, Signal, presencial e uma alternativa em papel são o tipo de redundância excessiva que compensa no dia em que um canal falha.
Bugs de software na interface da carteira
Safe, Sparrow, Electrum, Nunchuk e outras front-ends de multisig já tiveram, em algum momento, bugs que afetaram a forma como apresentavam transações, derivavam endereços ou contavam assinaturas. Um signatário não precisa de ser comprometido para a carteira ter um comportamento incorreto: a interface pode mentir sobre o que está a ser assinado, ou a carteira pode exigir um limiar diferente do que a cadeia impõe. Os utilizadores de multisig devem tratar a interface da carteira como parte do seu modelo de confiança, fixar versões específicas e verificar os detalhes das transações em pelo menos dois dispositivos independentes antes de assinar.
Recuperação por inatividade e o problema do interruptor de homem-morto
O modo de falha menos planeado em multisig não é o roubo. É o desaparecimento lento e silencioso de um signatário, muitas vezes o mais importante, e a forma como isso bloqueia todos os outros.
Porque é que "acrescentar mais um signatário" pode piorar as coisas
Quando um signatário se torna incontactável, a resposta instintiva é migrar para uma nova carteira com um conjunto alargado de signatários, mas a maioria dos multisigs on-chain não permite acrescentar signatários. Os multisigs de Bitcoin são normalmente fixados na configuração inicial, e mesmo o Safe em Ethereum, que suporta alterações de limiar através do seu contrato, exige que o limiar existente seja satisfeito para autorizar a mudança. Se o seu 2 de 3 perdeu um signatário e os dois restantes ainda conseguem atingir o limiar, pode, em princípio, migrar. Se o seu 2 de 3 perdeu dois signatários, ninguém consegue assinar nada, incluindo uma transação de migração.
É por isso que "acrescentar mais um signatário" é o instinto certo na altura errada. A altura para expandir o conjunto de signatários ou alterar o limiar é quando tudo funciona, em migrações planeadas, e não no meio de uma crise em que falta um signatário e os restantes entram em pânico.
Construir um interruptor de homem-morto
Um interruptor de homem-morto, neste contexto, é um plano pré-acordado que se ativa se um signatário permanecer em silêncio durante um período definido. As implementações práticas incluem:
- Um conjunto de instruções escrito e notarizado que nomeia um executor e especifica o que deve acontecer se o signatário não tiver assinado nada durante, por exemplo, 90 dias. O executor não recebe a chave, mas recebe a autoridade e os contactos para reunir os restantes signatários para uma migração planeada.
- Um wrapper de smart contract baseado em inatividade à volta do Safe que, após um timeout, permite uma transação com limiar reduzido para substituir signatários. Isto é delicado, porque reintroduz um ponto único de falha ao dar a um mecanismo o poder de agir sem o signatário em falta, mas, em tesourarias de longa duração, pode ser a diferença entre continuidade e bloqueio total.
- Uma cerimónia agendada de "estou vivo" trimestral, em que cada signatário assina uma pequena transação sem efeito. A cadeia regista o timestamp da última atividade de cada signatário, e um revisor designado repara quando alguém deixa de aparecer.
A verdade nua e crua é que a maioria dos patrimónios em cripto não tem nada disto, e o resultado é exatamente o que se esperaria: carteiras que funcionaram bem durante anos tornam-se永久 inacessíveis quando o titular original morre ou fica incapacitado. O custo de construir um interruptor de homem-morto é baixo. O custo de não o ter é a perda total.
Implicações práticas para configurar o seu multisig
Juntando a matemática e as operações, eis uma sequência de decisão que funciona para a maioria dos leitores no arquétipo deste artigo.
Passo 1: defina a sua tolerância à perda
Decida quantos signatários pode perder sem bloquear a carteira e escolha M como esse número mais um. Se precisa que a carteira sobreviva a duas perdas simultâneas, defina M como três. Se só precisa de sobreviver a uma, M como dois chega. Resista à tentação de definir M igual a N, o que lhe daria uma carteira de signatário único com passos desnecessários.
Passo 2: dimensione N com margem
Escolha N como, no mínimo, M mais dois para configurações pequenas e M mais três para tesourarias sérias. Isto dá-lhe margem para absorver uma perda continuando a poder migrar, e para integrar um signatário sucessor sem aumentar imediatamente o limiar. Sob o pressuposto de perda independente anual de 5% referido anteriormente, um 3 de 5 sobrevive à perda de dois signatários, e um 4 de 7 sobrevive à perda de três, com uma margem confortável para falhas correlacionadas.
Passo 3: diversifique em três eixos
Distribua os signatários por pelo menos dois fabricantes de dispositivos, duas localizações físicas e, idealmente, duas jurisdições legais. Evite colocar mais do que uma cópia de segurança de signatário na mesma nuvem, no mesmo gestor de palavras-passe ou na mesma linhagem de hardware. Trate qualquer dependência comum como um signatário oculto que conta para o seu N efetivo.
Passo 4: escreva o manual de recuperação
Documente, em papel e num formato que o seu executor consiga encontrar, exatamente o que acontece se cada signatário individual ficar incontactável. Inclua o endereço da carteira de recuperação, a blockchain e o software de carteira em uso, as localizações das cópias de segurança e os contactos dos restantes signatários. Guarde isto em pelo menos dois locais que não dependam da mesma pessoa estar viva para os obter.
Passo 5: agende migrações antes de precisar delas
Planeie migrar a carteira para um novo conjunto de signatários a cada um a três anos, não porque o antigo esteja partido, mas porque a rotação é barata quando nada está mal e é impossível quando algo está. Trate cada migração como um simulacro para a situação real.
Como acompanhar a segurança multisig de forma inteligente
A conceção de multisig evolui lentamente, mas as ameaças à sua volta avançam depressa: novo software de carteiras, novos módulos Safe, novos bugs ao nível da blockchain e novos padrões de engenharia social direcionados aos co-signers. Tentar acompanhar tudo isto manualmente é uma batalha perdida. A Zippfeed destaca notícias sobre multisig e self-custody com pontuação de sentimento (bullish, neutral ou bearish) e uma classificação de importância, para que possas detetar riscos reais cedo e ignorar o ruído.
