Co to jest portfel MPC? Bezpieczeństwo obliczeń wielostronnych

Każdy portfel kryptowalutowy sprowadza się do jednego sekretu: klucza prywatnego. Ktokolwiek go posiada, kontroluje środki. Koniec.

Ten projekt jest elegancki w teorii. W praktyce stworzył katastrofę w zwolnionym tempie. Chainalysis szacuje, że mniej więcej 20% wszystkiego wykopanego kiedykolwiek Bitcoina — ponad 140 miliardów dolarów po aktualnych cenach — siedzi w portfelach, których właściciele stracili dostęp do swoich kluczy prywatnych. Stefan Thomas, programista z San Francisco, ma dwa pozostałe zgadnięcia hasła na dysku IronKey przechowującym jego 7002 BTC. Po tym dysk zaszyfruje się na zawsze. Nie próbował żadnego z nich od lat.

Więc sam robisz backup klucza. Piszesz 24-słowną frazę odzyskiwania na metalu, zamykasz w sejfie, może dzielisz na lokalizacje. Stajesz się swoim własnym bankiem — i swoim własnym pojedynczym punktem awarii. Pożar domu, zapomniana kombinacja sejfu, nieostrożne zdjęcie wgrane do iCloud, i wszystko przepadło.

Alternatywa? Oddaj klucz depozytariuszowi. Giełdzie. To działało, aż FTX upadło w listopadzie 2022 roku, parując 8 miliardów dolarów depozytów klientów z dnia na dzień. Mt. Gox wcześniej. QuadrigaCX. Wzorzec się powtarza, bo architektura tego wymaga: jeden klucz, jedna lokalizacja, jedna rzecz, która może pójść nie tak.

Przez dekadę to były jedyne dwie opcje — zarządzaj ryzykiem sam, albo zleć je komuś, komu musisz zaufać. MPC łamie ten binarny wybór.

Obliczenia wielostronne (MPC) to gałąź kryptografii rozwinięta w latach 80. przez Andrew Yao ze Stanford. Kluczowa spostrzeżenie: wielu stron może wspólnie obliczyć funkcję na swoich prywatnych wejściach, nigdy nie ujawniając tych wejść sobie wzajemnie. Zastosowane do portfeli, znaczy to, że klucz prywatny jest dzielony na zaszyfrowane fragmenty — udziały (shares) — rozłożone na odrębne urządzenia i serwery. Kompletny klucz nigdy nie jest złożony w jednym miejscu. Nie na twoim telefonie. Nie na serwerze. Nie w pamięci. Nigdzie.

Myśl o tym jak o skarbcu bankowym, który wymaga, by dwaj z trzech urzędników obrócili swoje klucze jednocześnie. Tylko że „kluczami” są matematyczne udziały wykonujące niezależne obliczenia, a „drzwi skarbca” to prawidłowy podpis cyfrowy, który blockchain akceptuje, nie wiedząc, że stało się coś niezwykłego.

To się nazywa podpisem progowym (threshold signing). Konfiguracja 2-z-3 znaczy, że istnieją trzy udziały, i jakiekolwiek dwa mogą współpracować, żeby autoryzować transakcję. Jeden udział na twoim telefonie, jeden na serwerze platformy, jeden w zaszyfrowanym backupie offline. Jeśli twój telefon zostanie kradziony, atakujący trzyma dokładnie jeden udział — matematycznie bezużyteczny w izolacji. Pozostałe dwa udziały mogą wygenerować udział zastępczego urządzenia bez zmiany adresu twojego portfela albo wymogu przesunięcia środków.

Obliczenie dzieje się w milisekundach. Klikasz „Potwierdź”, udziały wykonują swoją rozproszoną matematykę, i standardowa transakcja trafia na blockchain. Bez widocznej opóźnienia. Bez dodatkowych podpisów na blockchainie. Bez odcisku, który odróżnia to od jakiegokolwiek innego portfela.

Najprostszym sposobem, żeby zrozumieć, co zmienia MPC, jest postawienie go obok tradycyjnego portfela.

Konwencjonalny portfel — sprzętowy, programowy, papierowy, nie ma znaczenia który — przechowuje jeden klucz prywatny w jednym miejscu. To jest cały model bezpieczeństwa. Jeśli ta jedyna kopia zostanie skompromitowana, atakujący ma pełną, nieodwracalną kontrolę nad każdym aktywem w portfelu. Jeśli kopia zostanie zniszczona, tak też jest z dostępem. Blockchain nie znam twoich intencji; rozpoznaje tylko prawidłowe podpisy.

Portfel MPC dystrybuuje to ryzyko na wiele niezależnych systemów. Jeden udział skompromitowany? Bezużyteczny bez innych. Jeden udział zniszczony? Pozostałe udziały regenerują zastępczy. Adres portfela pozostaje ten samy, środki nigdy się nie przesuwają, a stary udział jest kryptograficznie unieważniony. To jest fundamentalnie inna architektura — zbudowana wokół założenia, że indywidualne komponenty zawiodą, zamiast liczyć na to, że nie zawiodą.

Jeśli używałeś portfeli z wielopodpisem (multisig), MPC może wydawać się znajome. Obie eliminują pojedyncze punkty awarii. Ale mechanizm jest zupełnie inny, a różnice mają większe znaczenie, niż byś się spodziewał.

Multisig działa na poziomie warstwy blockchainowej. Portfel multisig 2-z-3 trzyma trzy niezależne klucze prywatne. Gdy podpisujesz transakcję, dwaj posiadacze kluczy każdy produkuje pełny podpis, i obie trafiają na blockchain. Blockchain weryfikuje, że próg został osiągnięty. Każdy — górnicy, eksploratory blocków, ktokolwiek patrzy — może zobaczyć, że to konfiguracja multisig.

MPC działa pod blockchainem. Trzy udziały jednego klucza współpracują poza łańcuchem, żeby wyprodukować jeden standardowy podpis. Blockchain nie ma pojęcia, że MPC było zaangażowane. Widzi tylko normalną transakcję z normalnego adresu.

Ta różnica ma realne konsekwencje. Wsparcie multisig różni się dziko między łańcuchami — implementacja Bitcoina jest inna niż Ethereum, Solana obsługuje to inaczej wciąż, a wiele rollupów L2 ma ograniczone albo żadne wsparcie natywne. MPC produkuje standardowy podpis ECDSA lub EdDSA, więc działa na każdym łańcuchu bez modyfikacji. Koszty gasu też się rozchodzą: transakcje multisig noszą wiele podpisów, co znaczy większe calldata i wyższe opłaty na Ethereum (czasem 2–3x). Transakcje MPC są identyczne w rozmiarze do jakiejkolwiek transakcji z jednym kluczem.

Prywatność jest kolejną przepaścią. Struktura portfela multisig jest publicznie widoczna na blockchainie, co może namalować cel dla sofistykowanych atakujących, którzy specjalnie szukają wysokiej wartości adresów multisig. Portfele MPC są nierozróżnialne od zwykłych.

Potem jest rotacja klucza. Zmiana sygnatariusza w większości konfiguracji multisig wymaga wdrożenia nowego kontraktu albo migracji do nowego adresu — destruktywny, opłatowo kosztowny proces. Udziały MPC mogą być odświeżane: nowe udziały wyprowadzone z aktualnego zbioru, stare udziały unieważnione, wszystko bez zmiany adresu portfela albo dotykania blockchaina. Pracownik odchodzi z firmy? Rotujesz udziały i idziesz dalej. Bez migracji, bez przestoju.

Fireblocks to nazwa, która wychodzi pierwsza. Ich infrastruktura MPC przetworzyła ponad 6 bilionów dolarów w skumulowanym wolumenie transferów wśród ponad 1800 klientów instytucjonalnych — banków jak BNY Mellon i BNP Paribas, funduszy hedgingowych, procesorów płatności i giełd. Gdy te instytucje przesuwają kryptowaluty, to podpisywanie progowe MPC autoryzuje każdą transakcję. Nie jedna osoba z portfelem sprzętowym zamkniętym w szufladzie.

Po stronie konsumenckiej, Zengo zademonstrowało, że MPC nie musi wydawać się skomplikowane. Ich mobilny portfel używa schematu MPC 2-z-2 — jeden udział na urządzeniu, jeden na serwerach Zengo — i użytkownicy nigdy nie napotykają frazy odzyskiwania. Bez 24 słów do zapisania. Bez urządzenia sprzętowego do kupienia. Autoryzacja biometryczna, normalnie wyglądająca aplikacja i zestaw odzyskiwania oparty na mapowaniu twarzy. Ponad milion użytkowników od 2019 roku, i ani jedno konto nie zostało zhakowane ani zamrożone.

Trend instytucjonalny jest stromy. Ankieta branżowa Fireblocks z 2024 roku znalazła, że 67% instytucjonalnych firm kryptowalutowych przyjęło albo aktywnie ocenia depozyt oparty na MPC, w porównaniu do 38% zaledwie dwa lata wcześniej. Wymogi ubezpieczeniowe i obowiązki powiernicze napędzają wiele z tej zmiany — model jednego klucza jest niestartowy dla każdego, kto zarządza pieniędzmi innych ludzi pod nadzorem regulacyjnym.

Infrastruktura międzyłańcuchowa też silnie polega na MPC. Mostki jak Wormhole i protokoły jak Axelar używają sieci walidatorów zabezpieczonych MPC, żeby autoryzować transfery aktywów między łańcuchami. Gdy setki milionów dolarów przemieszczają się z Ethereum na L2, to rozproszone podpisywanie progowe — nie klucz prywatny jednego walidatora — zatwierdza mint na drugiej stronie.

GaiaEx wbudowało MPC w swoją architekturę od podstaw, zamiast dostawiać go do konwencjonalnego modelu depozytowego po starcie.

Stworzenie konta wywołuje generowanie klucza i natychmiastowe rozdzielenie na udziały. Jeden udział ląduje na twoim urządzeniu; inne rozprowadzają się na geograficznie rozdzielonej infrastrukturze GaiaEx. W żadnym momencie żaden pojedynczy serwer — ani GaiaEx jako firma — nie posiada wystarczających udziałów, żeby zrekonstruować twój klucz albo przesunąć twoje środki. To nie jest decyzja polityczna. To jest ograniczenie matematyczne.

Podczas handlu, obliczenie podpisywania progowego działa poniżej 200 milisekund. Potwierdzasz zlecenie albo wypłatę, a odpowiednie udziały współpracują, żeby wyprodukować standardową transakcję blockchainową. Warstwa MPC jest niewidoczna — nie ma dodatkowego kroku potwierdzenia, żadnego zauważalnego opóźnienia, żadnego śladu na blockchainie, że rozproszone podpisywanie się wydarzyło.

Odzyskiwanie po utracie urządzenia działa bez frazy odzyskiwania. Pozostałe udziały weryfikują twoją tożsamość poprzez protokół odzyskiwania GaiaEx, generują świeży udział urządzenia i unieważniają stary. Adres twojego portfela pozostaje ten samy. Środki się nie przesuwają. Cały proces zajmuje minuty, nie niespokojne godziny próbowania przypomnieć sobie, gdzie zapisałeś 24 słowa.