Мультисиг

Мультисиг (multisig) — кошелёк, в котором для проведения операции требуется не одна, а несколько подписей одновременно. Конфигурация задаётся как M-of-N: всего у кошелька N владельцев, и для подтверждения транзакции нужны подписи любых M из них (например, 2 из 3 или 3 из 5).

Как реализован в TON

В TON мультисиг — не отдельный примитив протокола, а смарт-контракт. Когда вы создаёте мультисиг-кошелёк, на блокчейн деплоится контракт, в коде которого зашиты:

• Список адресов-подписантов (N ключей).
• Порог M — минимальное количество подписей для исполнения операции.
• Время жизни заявок (через сколько неподтверждённая транзакция протухает).

Подписант инициирует операцию (например, перевод jetton). Контракт сохраняет её как «заявку» и ждёт. Остальные подписанты заходят в свой кошелёк, видят ожидающие заявки, проверяют детали и подтверждают своей подписью. Как только набирается M подтверждений, контракт сам исполняет транзакцию.

Контракты-стандарты для multisig в экосистеме TON открытые, аудированные и используются как в кошельках, так и встраиваются вручную через FunC/Tact.

Сценарии применения

• DAO и фонды. Казна DAO под мультисигом — стандарт индустрии. Никто из членов в одиночку не может вывести средства.
• Корпоративные кошельки. Команда стартапа держит казну на 3-of-5 мультисиге: CEO, CTO, CFO + два бэкап-ключа на холодных носителях.
• Совместные семейные активы. Супруги, бизнес-партнёры — любая ситуация, где нужен совместный контроль.
• Повышенная личная безопасность. Пользователь распределяет три ключа: телефон, ноутбук, hardware-кошелёк. Достаточно компрометации одного устройства — средства всё равно не угнать. Атакующему нужны минимум два.

Популярные решения в TON

• Tonkeeper Multisig — встроенный модуль в Tonkeeper для создания и управления мультисигами. Поддерживает приглашение co-signers, отображение pending requests, push-уведомления.
• Open-source multisig contracts — справочные реализации в репозитории TON SDK, на которых разработчики собирают свои варианты.
• TonAccess / другие enterprise-решения — кастомные мультисиги для проектов с собственной policy-логикой.

Компромиссы

• Газ дороже. Каждая подпись — отдельное сообщение в сеть. Транзакция мультисига 2-of-3 расходует существенно больше газа, чем обычный перевод.
• UX медленнее. Нельзя нажать «отправить» и закрыть приложение. Нужно дождаться, пока остальные подпишут — это часы или дни в распределённых командах.
• Сложнее восстановление. Потеряли больше N-M ключей сразу? Кошелёк больше не управляем. Поэтому ставят буферные ключи на железных носителях.
• Hardware-поддержка ограничена. Большинство аппаратных кошельков (Ledger) не поддерживают TON multisig нативно — обычно используется через десктопный клиент Tonkeeper-а как мост.

Мультисиг — фундамент серьёзной on-chain казначейской работы и единственный практичный способ распределить контроль над активами между несколькими сторонами без участия посредника.