A importância da gestão de Carteira MPC e as melhores práticas

Recentemente, um conhecido projeto de ponte cross-chain teve uma anomalia operacional, com o seu CEO desaparecido, resultando na revogação das chaves de acesso do servidor de nós MPC. Este evento gerou uma ampla discussão na indústria sobre a forma de gestão das carteiras MPC.

Embora o projeto utilize a tecnologia MPC para gerenciar o tesouro, isso não significa que tenha alcançado verdadeira descentralização. Na verdade, a descentralização requer uma harmonização na aplicação da tecnologia e nas formas de gestão. Situações semelhantes não são raras no campo da blockchain, como um minerador monopolizando o poder de computação de toda a rede, ou a concentração excessiva de nós de validação.

Uma análise aprofundada revelou que todos os servidores de nó deste projeto são, na verdade, controlados por uma única pessoa, e essa forma de gestão centralizada é equivalente ao controle de todos os ativos por uma carteira de assinatura única. A raiz do problema reside no fato de que uma pessoa controla todos os fragmentos de MPC e não forneceu uma solução de backup para situações extremas.

Para aproveitar ao máximo as vantagens da tecnologia MPC, devemos prestar atenção aos seguintes pontos:

1. Aumentar a transparência e prevenir conflitos de interesse
2. Seguir rigorosamente os princípios de custódia de ativos descentralizados, evitando a concentração excessiva de poder.
3. Elaborar um plano de resposta a situações extremas

Prevenir conflitos de interesse: recusar operações em caixa preta

Neste incidente, um projeto de blockchain público também foi gravemente afetado. O fundador do projeto afirmou que anteriormente recebeu muitas garantias sobre a descentralização dos servidores, permissões de acesso e distribuição geográfica, mas ficou provado posteriormente que essas promessas não foram cumpridas.

Isto destaca que a solução MPC do projeto da ponte cross-chain é essencialmente uma "caixa preta". A razão para isso é que o projeto é tanto o construtor do serviço quanto o utilizador, e essa sobreposição de papéis leva à falta de transparência e a um espaço potencial para má conduta.

A solução está na introdução de um terceiro partido completamente neutro, sem conflitos de interesse, ou seja, utilizando um serviço de MPC de terceiros com credibilidade suficiente, substituindo o serviço de MPC construído internamente. Esta abordagem não só é aplicável a pontes cross-chain, mas também pode resolver o problema de conflitos de interesse que existe amplamente no campo do Web3, como quando uma exchange centralizada atua simultaneamente como prestadora de serviços de negociação e como custodiante de ativos.

Custódia descentralizada: eliminar o risco de ponto único

A análise posterior indica que a causa direta deste evento foi o risco de ponto único. Para evitar situações semelhantes, deve-se garantir a implementação distribuída de servidores, permissões de acesso e localização geográfica.

Uma solução viável é adotar uma assinatura multiassinatura 3-3 (que também suporta assinatura de limiar t-n), onde dois fragmentos são co-geridos pela plataforma, garantindo segurança através de criptografia de alta intensidade e um ambiente de execução confiável; a assinatura da transação só pode ser concluída com a participação conjunta das três partes, evitando efetivamente o risco de ponto único.

Além disso, considerando que os negócios geralmente são hierárquicos, o acesso deve ser escalonado de acordo. Pode-se adotar um design de derivação de chaves privadas em múltiplos níveis, que permita ao gestor controlar o global, ao mesmo tempo que permite aos operadores de linha gerenciar permissões específicas, evitando que o risco de ponto único cause a interrupção de todo o fluxo de negócios.

Em termos de distribuição geográfica, podem ser adotadas soluções como armazenamento distribuído online de múltiplos locais, backup offline frio em três níveis, serviços de recuperação de backup integrados por instituições especializadas, a fim de minimizar ao máximo o risco de perda de ativos ou indisponibilidade de serviços.

Plano de recuperação social em casos extremos

Apesar das medidas acima mencionadas, devemos reconhecer que certos riscos não podem ser completamente eliminados, como fatores de força maior do mundo físico. Portanto, é necessário considerar como responder em situações extremas.

Uma ideia inovadora é projetar o "modo SOS". Além da fragmentação convencional da chave privada, também podem ser configurados vários fragmentos SOS, que são geridos separadamente dos fragmentos normais da chave privada. Em circunstâncias normais, os fragmentos SOS não têm efeito. Mas em situações específicas, como a ativação manual dos fragmentos da chave privada pelo gestor em caso de emergência, a desconexão dos fragmentos da chave privada atingir um determinado limite de tempo, a ativação proativa de um evento de emergência pelos fragmentos SOS ou a aprovação por votação de acordo com regras estabelecidas, os fragmentos SOS serão ativados.

Após a ativação, os fragmentos SOS substituirão os fragmentos da chave privada, permitindo a transferência ou disposição de ativos em situações de emergência. Para evitar abusos de poder por parte dos detentores dos fragmentos SOS, podem ser adicionadas algumas condições restritivas, como definir um período de carência para a ativação do modo SOS, durante o qual os fragmentos da chave privada comum podem anular o modo SOS; ou, após a transferência de ativos em modo SOS, estabelecer um período de bloqueio para evitar a perda adicional de ativos.

Através dessas medidas, podemos, ao mesmo tempo que aproveitamos plenamente as vantagens da tecnologia MPC, reduzir efetivamente o risco de gestão de ativos, oferecendo aos usuários um serviço mais seguro e transparente.