التخزين البارد مقابل المحافظ الساخنة: كيفية بناء خزنة متعددة التوقيعات مرنة

عادةً ما لا يكون أقوى نظام أمان متعدد التوقيعات هو النظام الذي يضم أكبر عدد من الأجهزة أو أعلى عتبة أمان، بل هو النظام الذي يزيل نقاط الضعف الفردية دون أن يجعل عملية الاستعادة معقدة لدرجة تمنعك من الوصول إليه.

بالنسبة للعديد من الأفراد ذوي الخبرة، يُعدّ إعداد "2 من 3" الموثّق بدقة نقطة انطلاق عملية: موقّعان مستقلان لمحفظة أجهزة، محفوظان في موقعين منفصلين، بالإضافة إلى موقّع ثالث مستقل يُستخدم للاستعادة أو المرونة التشغيلية. أما بالنسبة لخزينة شركة تضمّ العديد من المسؤولين، فقد يكون إعداد "3 من 5" أكثر منطقية. يمكن أن تلعب المحفظة الساخنة دورًا في العمليات اليومية، ولكن يجب عدم الخلط بينها وبين التخزين البارد، ولا ينبغي أن تُصبح الحاجز الوحيد بين المهاجم والأموال طويلة الأجل.

تُفرّق هذه المقالة بين ما هو راسخ وما يعتمد على ظروفك. وهي تُركّز على بنية المحفظة وأساليب تشغيلها بدلاً من الادعاء بأن أي علامة تجارية أو حدّ أقصى للمحفظة هو الأكثر أماناً بشكل عام.

حلول التخزين البارد والمحافظ الساخنة تعالج مشاكل مختلفة

تم التحقق: تحافظ المحفظة الساخنة على إمكانية التوقيع على هاتف متصل بالإنترنت، أو إضافة متصفح، أو تطبيق سطح مكتب، أو بيئة مشابهة. هذا يجعلها مريحة، ولكنه يعرض المُوقِّع لنطاق أوسع من الهجمات. أما التخزين البارد فيهدف إلى إبقاء بيانات توقيع المفتاح الخاص معزولة عن الأنظمة العامة المتصلة بالإنترنت، وذلك عادةً باستخدام جهاز توقيع مادي أو عملية أخرى غير متصلة بالإنترنت.

هذا التمييز مهم لأن "التوقيع المتعدد" لا يعني بالضرورة "التخزين البارد". فالمحفظة التي تعتمد على مفتاحين من أصل ثلاثة، حيث تُخزَّن مفاتيحها الثلاثة على أجهزة كمبيوتر محمولة متصلة بالإنترنت، لا تزال عرضة للاختراق الإلكتروني. يقلل التوقيع المتعدد من الاعتماد على مفتاح واحد، بينما يقلل التخزين البارد من انكشاف المفاتيح الفردية. وهما أداتان متكاملتان للتحكم.

الإجراء: صنّف كل مُوقِّع حسب مكان وجود مفتاحه الخاص وكيفية استخدامه للتوقيع. لا تُصنِّف مُوقِّعًا بأنه "غير مُستخدم" لمجرد أنك نادرًا ما تستخدمه.

مفهوم خاطئ: التوقيع المتعدد يجعل المحفظة أكثر أمانًا دائمًا

تم التحقق: يمكن للتوقيعات المتعددة إلغاء الحاجة إلى مفتاح خاص واحد كنقطة تفويض وحيدة. يدعم بيتكوين شروط التوقيع المتعدد من نوع n من m، وتتيح حسابات Safe الذكية على شبكات EVM للمالكين تحديد حد أدنى للتأكيد. توضح الوثائق الرسمية لـ Safe أن هذا الحد الأدنى هو الحد الأدنى لعدد المالكين المطلوبين لتأكيد المعاملة قبل تنفيذها. راجع مفاهيم حسابات Safe الذكية .

تم التحقق أيضًا: المفاتيح الإضافية تُنشئ متطلبات تشغيلية إضافية. تُحذر وثائق التوقيع المتعدد من Trezor من أن المستخدمين بحاجة إلى معلومات المحفظة العامة اللازمة لإعادة بناء الإعداد واستخدامه، وأن فقدان بيانات التكوين المهمة قد يجعل الأموال غير قابلة للوصول حتى في حال بقاء عدد كافٍ من أجهزة التوقيع. راجع إرشادات التوقيع المتعدد من Trezor .

يعتمد الأمر على الظروف: هل سياسة التوقيع من اثنين من ثلاثة، أم ثلاثة من خمسة، أم سياسة أخرى هي الأنسب؟ يوضح مركز مساعدة Safe صراحةً أنه لا يوجد عدد مثالي واحد للموقعين أو حد أدنى لكل حالة استخدام، مع التوصية عمومًا بحد أدنى أعلى من واحد وأقل من إجمالي عدد الموقعين. راجع إرشادات إعداد Safe، آخر تحديث بتاريخ 23 أبريل 2026 .

الإجراء: اختر أصغر هيكل قادر على الصمود أمام الإخفاقات التي تهمك حقًا. يجب أن يكون للتعقيد مكانته.

تصميم معماري عملي للأقبية

إن أهم مبدأ تصميمي هو الفصل. فإذا تم تخزين جهازين في نفس الخزنة، أو نسخ بياناتهما احتياطياً في نفس الدرج، أو تهيئتهما على نفس الحاسوب المخترق، أو إدارتهما بواسطة نفس حساب مدير كلمات المرور، فقد يفشل التصميم في حادثة واحدة.

الإجراء: ارسم نطاقات الفشل المحتملة على الورق: عطل في الجهاز، حريق منزل، سرقة، برمجيات خبيثة، إكراه، اختراق حساب سحابي، وفقدان شخص موثوق به. تأكد من عدم وجود حدث واحد قادر على تجاوز عتبة التوقيع وتدمير مسار الاسترداد في آن واحد.

هل ينبغي أن يكون أحد الموقعين على العقد من أصحاب المحافظ الإلكترونية غير المصرح لهم باستخدامها؟

يعتمد ذلك على الحالة: يمكن قبول مُوقِّع نشط كمفتاح تسهيل إذا كان الحد الأدنى لا يزال يتطلب مُوقِّعًا غير نشط مستقل. على سبيل المثال، في تصميم 2 من 3، يمكن لمُوقِّع هاتفي بالإضافة إلى مُوقِّعين ماديين تسهيل عملية التوقيع الروتينية مع الاستمرار في اشتراط وجود جهاز مادي لكل عملية إنفاق.

مع ذلك، لا يُعادل هذا خزنة بيانات باردة تمامًا بنسبة 2 من 3. فالهاتف المخترق يمنح المهاجم بالفعل إحدى الموافقتين المطلوبتين. وبالتالي، يتركز هامش الأمان المتبقي في مُوقِّع بارد واحد.

لتحقيق وفورات طويلة الأجل، يفضل العديد من المستخدمين الاحتفاظ بكل توقيع على الخزنة على جهاز مخصص، واستخدام محفظة ساخنة منفصلة تمامًا لأرصدة الإنفاق الصغيرة. هذا يخلق فصلًا واضحًا: المحفظة الساخنة توفر الراحة، بينما تتولى الخزنة حفظ البيانات.

الإجراء: إذا قمت بتضمين مُوقِّع نشط، فقم بنمذجة الأمر على أنه مُخترق بالفعل. اسأل عما إذا كانت الضوابط المتبقية لا تزال قوية بما فيه الكفاية.

يُعدّ الفصل الرئيسي بين العلامات التجارية أكثر أهمية من تنوع العلامات التجارية وحده.

قد يُقلل استخدام علامات تجارية متعددة لمحفظات الأجهزة من الاعتماد على تطبيق واحد، لكن تنوع العلامات التجارية ليس حلاً سحرياً. فإذا تم تخزين جميع البيانات الأولية والأجهزة والنسخ الاحتياطية معاً، فإن نفس عملية السرقة أو الحريق قد تُعطل النظام. في المقابل، قد تكون ثلاثة أجهزة متطابقة في بيئات أعطال منفصلة تماماً أكثر مرونة من إعداد "متنوع" مُخزّن في مكان واحد.

تؤكد إرشادات Ledger التعليمية حول التوقيع المتعدد على توزيع المفاتيح جغرافيًا واستخدام أجهزة التوقيع. راجع نظرة عامة على أفضل ممارسات التوقيع المتعدد من Ledger .

الإجراء: إعطاء الأولوية للمواقع المستقلة، والنسخ الاحتياطية المستقلة، والتحكم المستقل في الوصول قبل شراء علامات تجارية إضافية لمجرد التنوع.

ادعم أكثر من مجرد الكلمات البذرية

يُعدّ هذا أحد أخطر المفاهيم الخاطئة في مجال تخزين التوقيعات المتعددة. فغالبًا ما يُمكن إعادة بناء محفظة التوقيع الواحد انطلاقًا من بذرتها وافتراضات الاشتقاق. كما تعتمد محفظة التوقيعات المتعددة على سياسة المحفظة وبيانات المفتاح العام الوصفية التي تُحدد للبرنامج كيفية توافق المُوقِّعين.

بالنسبة لسير العمل القائم على مُعرّفات بيتكوين، يُتيح Bitcoin Core الوصول إلى مُعرّفات المحفظة وتوثيقها كمعلومات برمجية تستخدمها محافظ المُعرّفات. يتضمن توثيقه الحالي استدعاء الإجراء عن بُعد (RPC) الخاص بـ Bitcoin Core 30.0 listdescriptors . كما يُظهر توثيق استدعاء الإجراء عن بُعد (RPC) الخاص بالتوقيعات المتعددة الأقدم أن عنوان التوقيعات المتعددة يُحدد بعدد التوقيعات المطلوبة بالإضافة إلى المفاتيح المُشاركة. راجع توثيق addmultisigaddress الخاص بـ Bitcoin Core .

الإجراء: الحفاظ على سياسة المحفظة، وبصمات المُوقِّع أو المعرّفات المُكافئة، ومسارات الاشتقاق، والوصفات أو إعدادات الحساب، والشبكة، وبرنامج المحفظة المُستخدم، وتعليمات الاسترداد الواضحة. إبقاء بيانات الاسترداد الوصفية مُتاحة للأشخاص المُصرَّح لهم دون وضع جميع الأسرار الخاصة معًا.

تحقق من العناوين وتفاصيل المعاملات على شاشات العرض الموثوقة

لا يمكن للتوقيعات المتعددة أن تحميك إذا وافق كل مُوقِّع بشكل أعمى على نفس المعاملة الخبيثة. فالعنصر البشري لا يزال بالغ الأهمية. إذ يمكن لجهاز كمبيوتر منسق مخترق أن يُظهر وجهة خاطئة، أو استدعاء عقد خبيث، أو مبلغًا غير متوقع. وتكون أجهزة التوقيع المادية أكثر فائدة عند التحقق من التفاصيل الهامة على الجهاز نفسه بدلاً من الاعتماد على شاشة الكمبيوتر فقط.

بالنسبة لحسابات العقود الذكية، يتجاوز نموذج المخاطر مجرد تحديد مكان المفاتيح. توثق Safe الوحدات والحراس التي يمكنها توسيع نطاق السلوك، لكنها تحذر أيضًا من أن هذه الوحدات والحراس بالغة الأهمية من الناحية الأمنية. قد يؤدي تعطل أحد الحراس إلى منع تنفيذ المعاملات. راجع تحذير الأمان الخاص بـ setGuard في Safe .

الإجراء: قبل التوقيع، تحقق من الوجهة والمبلغ والشبكة والرسوم، وعند التعامل مع العقود، تحقق من العملية الفعلية المصرح بها. تعامل مع أي وحدة نمطية جديدة أو حماية أو بدل أو تغيير في السياسة على أنه معاملة عالية المخاطر.

لا تجعل عتبة الموافقة متساوية لجميع الموقعين إلا إذا كنت بحاجة ماسة إلى الإجماع.

تبدو محفظة "3 من 3" أقوى من محفظة "2 من 3" لأن كل معاملة تتطلب استخدام جميع المفاتيح. وهذا يعني أيضاً أن فقدان مفتاح واحد بشكل دائم قد يؤدي إلى تجميد الأموال. بالنسبة للعديد من المستخدمين، يُعدّ هذا خياراً غير مناسب من حيث المرونة.

توصي إرشادات الإعداد الرسمية لـ Safe بتحديد حد أدنى أقل من إجمالي عدد الموقعين، حتى لا يؤدي تعذر الوصول إلى أحد الموقعين إلى قفل الحساب تلقائيًا. لا يُعد هذا قاعدة عامة، إذ تتطلب بعض حالات الحوكمة الإجماع عمدًا، ولكنه خيار افتراضي مفيد لحفظ البيانات الشخصية والعديد من خزائن العمليات.

الإجراء: حدد ما إذا كان الخطر الأكبر هو الإنفاق غير المصرح به أو فقدان الوصول بشكل دائم. حدد الحد الأدنى فقط بعد الإجابة على هذا السؤال.

تُعدّ تدريبات الاستعادة جزءًا من الخزنة

مبدأ مُثبت: النسخة الاحتياطية التي لم تُختبر ليست سوى افتراض. التصميم الأكثر متانة يتضمن طريقة آمنة للتحقق من أن المُوقِّعين وسجلات التكوين وتعليمات الاسترداد لا تزال تعمل.

لا تتطلب عملية استعادة البيانات نقل رصيدك بالكامل. يمكنك التحقق من أن برنامج المحفظة البديلة يتعرف على السياسة المقصودة، وأن كل مُوقِّع مؤهل للتوقيع، وأن عناوين الاستلام متطابقة بشكل مستقل، وأن الأشخاص المسؤولين على دراية بمكان المعلومات المطلوبة. بالنسبة للشركات، وثِّق الإجراءات المتبعة عند مغادرة موظف، أو فقدان مُوقِّع، أو إيقاف تشغيل جهاز، أو الاشتباه في اختراق مفتاح.

الإجراء: جدولة مراجعة دورية للاسترداد وإجراء معاملة اختبار صغيرة ومضبوطة بعد حدوث تغييرات كبيرة في المحفظة أو البرامج الثابتة أو المُوقِّع أو الموظفين.

احتفظ بالمحفظة اليومية خارج الخزنة

غالباً ما يُحسّن تصميم التخزين البارد الأمثل سهولة الاستخدام من خلال الاعتراف بأن ليس كل معاملة تستدعي إجراءات معقدة. يمكن لرصيد محفظة ساخنة صغير التعامل مع المدفوعات الروتينية، أو التطبيقات اللامركزية، أو إيداعات منصات التداول، بينما يبقى نظام الخزنة متعددة التوقيعات غير عملي عمداً.

يحد هذا الفصل من نطاق التأثير. ففي حال تعرض المحفظة الساخنة للاختراق أو التصيد الاحتيالي، يحصل المهاجم على الرصيد التشغيلي بدلاً من رصيد الخزانة. لذا، يُنصح بإعادة تعبئتها من الخزنة وفقًا لمبلغ أو جدول زمني محدد مسبقًا، بدلاً من تحويل الخزنة نفسها إلى محفظة متصفح شائعة الاستخدام.

الإجراء: حدد الحد الأقصى لرصيد المحفظة الساخنة بناءً على ما يمكنك تحمل خسارته دون تهديد ممتلكاتك طويلة الأجل.

مخطط موجز لخزنة متعددة التوقيعات مرنة

• استخدم عتبة أكبر من واحد حتى لا يتمكن مفتاح واحد من إنفاق الخزنة.
• يجب إبقاء الحد الأدنى أقل من العدد الإجمالي للموقعين ما لم يكن الإجماع شرطاً مقصوداً.
• قم بفصل الموقّعين والنسخ الاحتياطية عبر نطاقات الفشل الحقيقية، وليس فقط عبر أدراج مختلفة.
• يفضل استخدام أجهزة توقيع مخصصة للأجهزة لمفاتيح الخزائن طويلة الأجل.
• في حالة استخدام مُوقِّع ساخن، تأكد من أنه لا يمكنه الموافقة على الإنفاق بدون مُوقِّع بارد مستقل.
• قم بعمل نسخة احتياطية من إعدادات المحفظة والبيانات الوصفية العامة بالإضافة إلى مواد الاسترداد الخاصة.
• تحقق من تفاصيل المعاملة على شاشات التوقيع الموثوقة كلما أمكن ذلك.
• احتفظ بأموال الإنفاق الروتيني خارج الخزنة.
• استعادة الاختبار واستبدال المُوقِّع قبل أن تجبرك حالة طارئة على التعلم تحت الضغط.

ما لا يمكن تحديده بشكل عالمي

لا يمكن لأي جهة تحديد الحد الأمثل، أو عدد الموقعين، أو مواقع التخزين، أو بنية المحفظة الرقمية، دون معرفة نموذج التهديدات، وخطة إدارة التركة، والقدرات التقنية، والجهات القضائية، ومن يجب أن يكون مخولاً باسترداد الأموال. تختلف احتياجات مالك فردي يحمي مدخرات تقاعده عن احتياجات إدارة خزينة تضم خمسة أشخاص، وقد تحتاج المؤسسة إلى ضوابط داخلية تتجاوز بكثير مجرد برامج المحافظ الرقمية.

لذا، فإن الهدف المفيد ليس الوصول إلى أقصى درجات التعقيد، بل هو تصميم لا يستطيع فيه أي جهاز أو شخص أو حساب أو موقع مادي مخترق أن يسمح بالوصول إلى الخزنة وفي الوقت نفسه يمحو خيارات الاسترداد الخاصة بك.

الخطوة الأخيرة: كتابة التصميم، واختباره بمبلغ صغير، والتدرب على عملية الاسترداد، وعندها فقط يتم نقل الأموال الكبيرة إلى الخزنة.