Multisignature-wallets uitgelegd: gedeelde controle en herstel

Een multisignature- (multisig-)wallet vereist een minimum aantal handtekeningen voordat een transactie kan worden uitgegeven — bijvoorbeeld twee van drie (2-van-3), of drie van vijf. Elke ondertekenaar houdt zijn eigen sleutel, dus geen enkele persoon kan de tegoeden alleen verplaatsen.

Waar multisig wordt gebruikt

• Gedeelde controle in een bedrijf of partnerschap.
• Nalatenschapsstructuren, waar meerdere beheerders moeten instemmen.
• Hogere beveiliging, zodat één verloren of gecompromitteerd apparaat geen verloren tegoeden betekent.

Hoe herstel werkt

Elke mede-ondertekenaar heeft zijn eigen sleutelmateriaal — meestal zijn eigen herstelzin of wallet. Herstel volgt dezelfde regels als elke wallet, maar de drempel doet ertoe:

• Genoeg ondertekenaars hebben hun sleutels nog: de wallet kan worden gereconstrueerd en tegoeden veilig worden verplaatst.
• Te weinig ondertekenaars blijven over: de wallet is vergrendeld. Meer sleutels verliezen dan de drempel toestaat is iets dat niemand kan terugdraaien.

Multisig versus 2FA

Multisig is geen tweefactorauthenticatie. 2FA beschermt een account of apparaat; multisig verdeelt werkelijke ondertekeningsbevoegdheid over afzonderlijke sleutels. In hersteltermen moet de back-up van elke mede-ondertekenaar met dezelfde zorg worden behandeld als de zin van een enkele wallet.

De drempel bepaalt ook hoe herstel eruitziet: zolang er genoeg ondertekenaars overblijven, kan de wallet worden herbouwd, zelfs als sommige back-ups verloren gaan.

Veelvoorkomende herstelsituaties

• Eén ondertekenaar verloren, de rest aanwezig: haalt u nog de drempel, dan werkt de wallet — de sleutel van de ontbrekende ondertekenaar is voor die combinatie simpelweg niet nodig.
• Te weinig ondertekenaars blijven over: onder de drempel kan geen enkele combinatie ondertekenen. Geen tool, GPU of specialist kan de drempel omzeilen; dat is precies de bedoeling van het ontwerp.
• De walletsoftware is weg: de sleutels kunnen als afzonderlijke bestanden, seeds of op hardwareapparaten staan; herstel betekent de ondertekenaars reconstrueren, niet de wallet.
• Nalatenschap: een multisig-wallet verdeelt de sleutels vaak over mensen of organisaties. Het herstellen ervan nadat een sleutelhouder is overleden is een verificatiezaak — de erfgenamen moeten autoriteit bewijzen voordat een ondertekenaar wordt gebruikt.

De kernvraag is overal dezelfde: welke handtekeningen, seeds, apparaten of bestanden bestaan er nog, en haalt die set de drempel?

Beschadigde sleutels versus ontbrekende sleutels

Een beschadigde sleutel is een reparatieprobleem; een volledig ontbrekende sleutel niet. Bevat de herstelzin van een medeondertekenaar een verkeerd woord, ontbrekende tekens of een onleesbare back-up, dan kan die sleutel vaak worden gereconstrueerd volgens dezelfde regels als elke losse wallet — zie onvolledige herstelzin. Wat niemand kan: een sleutel terughalen die nergens meer bestaat — onder de drempel sluit het ontwerp zelf de deur.

Eén vereiste verrast veel mensen: voor het opnieuw opbouwen van de wallet is ook de configuratie nodig. Zelfs met genoeg sleutels heeft een 2-van-3-wallet de publieke sleutels van alle drie de medeondertekenaars nodig — de xpubs — plus het scripttype, meestal bewaard als output descriptor of walletbestand. Bewaar elke configuratie-export met dezelfde zorg als de herstelzinnen zelf.