Uma carteira multiassinatura é adotada especificamente para impedir que uma única pessoa, incluindo um fundador ou um funcionário de confiança, movimente os fundos da empresa sozinha. É uma das melhores defesas estruturais contra roubo interno que existem na custódia de criptomoedas. O mesmo design que a torna resistente a um único agente mal-intencionado também a torna dependente de que todo signatário necessário permaneça contatável, cooperativo, e na posse de sua chave. Quando um deles não está, a carteira pode se tornar tão inutilizável quanto se tivesse sido comprometida, ainda que tecnicamente nada tenha sido roubado.
Como isso acontece na prática
Vemos um punhado de padrões recorrentes por trás de uma tesouraria multiassinatura travada. Um cossignatário deixa a empresa em más condições e se recusa a participar de transações, às vezes usando explicitamente sua assinatura necessária como moeda de troca em uma disputa não relacionada. Um cofundador se torna genuinamente inalcançável, por afastamento, incapacidade, ou, em casos mais raros, morte, sem que o limiar da carteira tenha sido projetado para sobreviver a isso. Um signatário perde seu dispositivo de hardware ou chave sem um processo de recuperação documentado, o que é funcionalmente idêntico a esse signatário se recusar a cooperar, independentemente da intenção. E, ocasionalmente, um signatário age de má-fé declarada, tentando usar sua posição para extrair um pagamento antes de concordar em assinar uma transação legítima.
O fio condutor em todos esses casos é que a premissa de segurança da carteira, de que o limiar necessário de signatários sempre estaria disponível e agindo de boa-fé, acaba não tendo previsto disrupções comuns, empresariais e pessoais. Um esquema 2 de 3 ou 3 de 5 projetado apenas para prevenir roubo, sem também planejar para a indisponibilidade de um signatário, cria exatamente essa exposição.
O que pode e o que não pode ser feito tecnicamente
Uma vez que uma carteira é implantada com um conjunto fixo de signatários e um limiar definido, geralmente não há como remover ou substituir um signatário não cooperativo sem a própria cooperação desse signatário, a menos que a configuração multiassinatura tenha sido especificamente construída com um mecanismo de recuperação ou rotação de chaves previsto com antecedência. Esse é o núcleo desconfortável do problema: a mesma rigidez que torna a multiassinatura segura contra um único agente desonesto a torna inflexível diante de uma disrupção comum e previsível na disponibilidade desse agente.
O melhor momento para resolver um problema de cossignatário desonesto é antes que ele aconteça, escolhendo um esquema multiassinatura com um caminho de recuperação embutido, um número de signatários maior do que o mínimo estrito, ou um mecanismo de backup com bloqueio temporal. Uma vez que a carteira já está implantada e um signatário já está sendo não cooperativo, as opções se estreitam consideravelmente e costumam deixar de ser técnicas para se tornar jurídicas.
Quais opções investigativas e jurídicas geralmente existem
- Um registro documentado da governança da carteira, quem foi designado como signatário, sob qual acordo, e o que esse acordo diz sobre renúncia, remoção ou incapacidade, é o ponto de partida para qualquer remédio jurídico.
- Quando um signatário se recusa a cooperar por motivos indevidos, essa recusa às vezes pode ser tratada por meio do acordo comercial subjacente entre as partes, principalmente se a governança da carteira estiver documentada em um acordo de acionistas ou de operação.
- Quando os fundos estão demonstravelmente em risco de ficar permanentemente travados, remédios cíveis, como um pedido para compelir o cumprimento de um acordo, ou, em algumas jurisdições, uma ordem judicial voltada especificamente para o ativo, podem estar disponíveis, embora isso dependa fortemente do acordo que rege a relação e da jurisdição, e seja uma questão para assessoria jurídica qualificada, e não algo a presumir de antemão.
- Uma análise pericial do histórico de transações da carteira e da atividade dos signatários pode estabelecer, independentemente de qualquer narrativa de disputa, exatamente o que cada signatário fez ou deixou de fazer e quando, o que costuma ser decisivo para resolver uma disputa sobre intenção.
Construindo a próxima carteira para sobreviver a isso
Para uma empresa que está estruturando a custódia de sua tesouraria hoje, a lição desses casos tem menos a ver com evitar a multiassinatura e mais com não tratar a configuração inicial do limiar como uma decisão permanente e estática. Um conjunto de signatários que inclui um plano de sucessão documentado, um limiar com alguma margem acima do mínimo operacional estrito, e um acordo de governança por escrito cobrindo o que acontece se um signatário ficar indisponível, resolve a maior parte do que transforma um problema isolado de pessoal em uma tesouraria travada.