大规模密钥管理：机构如何托管加密资产

TL;DR

三层堆叠结构：经过认证的硬件，可在不暴露密钥的情况下生成并使用密钥；分布式签名（MPC 或多签名），使授权需要达到法定人数；以及将风险价值与操作摩擦相匹配的存储层级。每一层都针对不同的故障类别，而严肃的托管方会同时运行这三层。
通过让交易管道本身核查组织架构：在任何签名生成之前，于可信边界内通过代码评估金额阈值、目的地白名单、交易频率限制、角色分离、时间延迟及法定人数审批。存在于手册中的政策只是建议；存在于签名路径中的政策才是铁律。
它证明了，一个无法看到自己正在签署什么内容的决策群体，实际上就是由一名攻击者组成的决策群体：15亿美元通过合法审批人的有效签名被转移，而这些审批人当时以为自己只是在批准一笔常规转账。安全防护的重心已从保护密钥转向验证意图。
这是一套拼凑而成的监管体系，而非单一的防护边界：美国有州级和联邦特许执照以及顾问托管规则；欧盟有《MiCA》下的授权CASPs；其他地区则有并行的框架，虽然在隔离、治理和审计方面存在共同主题，但并未共享统一的规则手册。合规不等于安全，本节中的每项陈述均因司法管辖区和实体而异。

在一个街区

机构级托管将密钥视为授权系统的一个组成部分。真正的设计对象是政策：谁可以转移什么资产、转移到何处、超过多少金额、经过多长时间延迟、需经谁批准；而技术手段（如HSM、MPC、多签名、冷存储）的存在，正是为了在不信任任何单个人或机器的情况下执行该政策。三大技术支柱包括：硬件隔离（密钥在经过认证的HSM或安全隔离区内部生成和使用）、分布式授权（通过MPC或多签名机制确保任何单一主体均无法单独签名），以及分层流动性（冷、温、热三层存储，价值随层级递减，交易摩擦也随之降低）。 2025年2月发生的那起涉及15亿美元的Bybit盗窃案，是这个时代的决定性教训：密钥从未被提取。攻击者破坏了签名工作流，导致审批者批准了一笔恶意交易，而他们无法识别该交易的真实性质。如今，对签名内容的验证与对签名主体的保护同样重要。监管体系更像是一块块拼凑而成的补丁，而非单一的防…

机构托管实际上解决了什么问题？

简短回答：它将“谁知道秘密”转化为“政策允许什么”，因为组织无法仅依靠秘密安全运行：人员会离职、串通、死亡、犯错或受到胁迫。现有技术旨在让政策——而非记忆——成为驱动资金流动的核心。

试想一下，组织需要什么，而秘密无法提供。双重控制：无论职位多高，任何个人都无法单独调动客户资产。继任机制：访问权限在任何人离职或去世后依然有效，无需进行危险的交接仪式。可审计性：一份完整且防篡改的记录，明确记载了谁在何时、依据何种政策授权了什么。隔离管理：交易台能够向交易对手方付款，却无法清空资金储备。恢复能力：即使任何设备、场所或人员丢失，资产依然可被访问。对外部方的问责：监管机构、审计师和客户能够验证控制措施的存在，而无需被授予“钥匙”。

存放在保险箱中的助记词会同时违反所有要求。无论谁打开保险箱，谁就拥有了一切；审计轨迹仅限于保险箱的铰链；继任安排仅是一纸遗嘱；隔离机制根本不存在。通过增加更多保险箱来扩大规模，只会使故障模式成倍增加而非减少，而该行业的早期历史——交易所创始人作为单点故障、密钥存放在笔记本电脑中——正是这种做法造成的牺牲名单。最具代表性的案例仍是QuadrigaCX：创始人去世后，所有控制措施的缺失瞬间暴露无遗；监管机构的事后调查发现，当时该平台几乎没有任何资产，客户的损失完全源于创始人生前实施的欺诈和未经授权的交易。治理体系早在其去世前就已崩溃，他的离世只是让这一失败浮出水面。

因此，机构层面的框架与业余模式恰恰相反。业余者会问：我该把密钥藏在哪里？而机构则会问：价值流动的完整条件是什么，以及如何确保只有满足这些条件时，价值才能实际流动？接下来各节中提到的所有内容——硬件、多方密码学计算（MPC）、分层架构、策略引擎——都是为了落实这种逆转而设计的机制。

技术构建模块有哪些？

快速解答

三层堆叠结构：经过认证的硬件，可在不暴露密钥的情况下生成并使用密钥；分布式签名（MPC 或多签名），使授权需要达到法定人数；以及将风险价值与操作摩擦相匹配的存储层级。每一层都针对不同的故障类别，而严肃的托管方会同时运行这三层。

硬件隔离是基础。密钥在硬件安全模块（符合 FIPS 140 等标准的防篡改设备）或安全隔离区内生成，签名操作也在该边界内进行：密钥的设计确保其绝不会存在于普通内存、磁盘或传输过程中。在许多经过认证的设备上，物理篡改会触发密钥清零。密钥生成仪式是正式流程，需多方见证、记录熵值，并将密封备份分发至不同地点，因为一旦密钥在生成时遭到泄露，其安全性将永远丧失。

分布式授权是承重墙。链上多签名需要 m 个独立签名中的 n 个，并将法定人数政策置于链上本身，既透明又由链强制执行。阈值密码学和多方计算（MPC）——本学院其他课程已从第一性原理进行过讲解——实现了相同的法定人数属性，但存在一个关键的操作差异：签名通过联合计算生成一个普通签名，而不会重建整个密钥；当设置仪式采用分布式密钥生成而非可信经销商时，密钥份额在任何时候都不会组合成完整的密钥；且可在不触及资金的情况下主动刷新密钥份额。设置类型（可信中介或分布式密钥生成）是尽职调查的一部分，因为它决定了完整密钥是否曾存在过，这也是机构为何要审计该仪式而非直接采信的原因。机构越来越倾向于在支持多种区块链且签名方案兼容的情况下采用多方计算（MPC），而在注重隐私的政策场景下，则使用多签名（multisig）；在任何情况下，都会将密钥份额分布于不同地理区域、组织和硬件供应商之间，以确保没有任何单一地点、雇主或供应链能够控制法定人数。

分层存储使风险暴露与需求相匹配。冷存储层持有大部分资产，其密钥存储在物理隔离的硬件中，需经法定人数批准，并采用故意设计为缓慢、有时甚至需要物理仪式化的释放流程。温存储层则在自动化策略检查和较短延迟机制的保护下，持有运营所需的流动资金。热层存储日常流转所需的最低额度，这是在线安全漏洞唯一能快速触及的层级，其规模设定应确保即使发生全部损失，也仅是可接受且已投保的经营成本，而非危及生存的事件。比例分配是动态的风险决策：热层占比过高会招致攻击，冷层占比过高则会在赎回高峰期导致运营失败。

围绕这三个层级，还有一些看似不起眼却至关重要的环节：对每个地址的实时监控、对任何异常流动的预警、在账本层面将客户资产与自有资产隔离，以及经过演练的灾难恢复——因为从未恢复过的备份只是一个假设，绝非真正的备份。

Diagram of institutional crypto custody architecture showing a policy engine, MPC and multisig quorum signing, HSM key isolation, and cold, warm and hot storage tiers — 图1. 机构托管架构：政策、分布式授权、硬件隔离和分层存储。

策略引擎如何将治理转化为执行？

快速解答

通过让交易管道本身核查组织架构：在任何签名生成之前，于可信边界内通过代码评估金额阈值、目的地白名单、交易频率限制、角色分离、时间延迟及法定人数审批。存在于手册中的政策只是建议；存在于签名路径中的政策才是铁律。

成熟的托管架构会对每笔拟进行的交易进行全面评估。交易由谁发起？以何种角色？来自哪个经过身份验证的上下文？收款方是否在白名单中？添加时间有多久？因为攻击者通常会添加新地址。金额是否超过了阈值，从而导致审批法定人数从两名高管提升至三名加一名合规签字人？该账户当天或当周的资金转移额是否超过了其资金周转上限？是否附带强制延迟，在此期间，警报会发送给那些唯一职责就是提出异议的人员？

有两个特征将严肃的实施与走过场区分开来。首先，策略引擎必须位于受信任边界之内，并由负责签名的同一硬件或多方计算（MPC）决策体强制执行，以确保即使操作员的笔记本电脑遭到入侵，也无法绕过该机制。在 Web 仪表盘中查看、并由一个对所有传入数据一律签名的 HSM 进行签名的政策，充其量只是个仪表盘，绝非控制机制。其次，政策变更本身必须是受管控的事务：添加白名单条目、提高限额或更换审批人，都必须像支付交易一样经过法定人数和延迟流程，因为攻击者最喜欢的事务，正是修改规则的那一类。

角色分离使设计臻于完善。发起人无法批准；审批人无法部署代码；制定政策的安全官无法执行支付；审计员可以查看一切，却无法进行任何操作。结合分布式股份机制，其实际效果是：要从一家管理良好的托管机构中盗取资产，必须在同一政策窗口内，同时协调攻破身处不同地点、担任不同角色的数名人员，而此类操作的成本和引发的警报远超绝大多数可预见的收益。这一句话就是整个产品的精髓。

Bybit盗窃案是促使整个行业保持诚信的典型反例，下一节将对此进行全面探讨。

Bybit盗窃案对托管理念带来了哪些改变？

快速解答

它证明了，一个无法看到自己正在签署什么内容的决策群体，实际上就是由一名攻击者组成的决策群体：15亿美元通过合法审批人的有效签名被转移，而这些审批人当时以为自己只是在批准一笔常规转账。安全防护的重心已从保护密钥转向验证意图。

据FBI归因于朝鲜黑客的2025年2月事件事实简明扼要：Bybit通过一个广泛使用的签名界面运营多签名冷钱包方案。攻击者在上游的工作流中——即界面层——实施了入侵，使得审批人看到的是一笔常规转账，而他们签名的有效载荷却篡改了钱包的控制逻辑。每位审批人核对屏幕显示内容后进行了签名。签名真实有效，法定人数已满足，显示的政策也得到了遵循，约15亿美元就这样从“正门”流走了。整个过程中未曾提取任何密钥；本案例的重点在于将其置于2025年更广泛的损失图景中——当时，操作层面的安全漏洞远比合约漏洞造成的损失更为严重。

这一教训的普适性远不止于单一平台。任何审批系统都继承了被审批对象的完整性。如果五个国家的十名官员都看到相同的虚假界面，则法定人数仅衡量谎言的传播范围，而非真相。架构中所有上层组件——HSM、MPC、策略引擎——都受制于一个核心问题：究竟签署了什么内容？由谁依据什么标准进行了验证？

因此，Bybit事件后的实践强化了渲染路径。独立验证：审批者需在与提议系统无任何共享基础设施的第二台设备和通道上，确认已解码的交易、目的地、金额，以及最关键的——合约逻辑或委托权限的任何变更。明签优于盲签：使用能够解码并显示真实有效载荷（而非不透明哈希值）的硬件，并制定拒绝无法解码内容的策略。有效载荷级策略：通过引擎解析实际的合约交互，确保“常规转账”与“重写钱包核心逻辑”无法伪装成同一操作。带外核对：一项与运营在组织上相互独立的监控功能，可在待处理交易释放前，根据原始链数据重建其真实操作。以及采购中的谦逊态度：签名界面、浏览器扩展、内部仪表盘，每一个“玻璃面板”，如今都被视为金库的一部分。

这种简化的形式适合作为检查清单：保护密钥、分散定额，并默认屏幕显示的内容不可信，除非有独立证据证明其真实性。

Diagram of the Bybit 2025 theft showing a compromised signing interface causing multisig approvers to authorise a malicious payload while keys and signatures remained uncompromised — 图 2. Bybit 攻击的切入点：签名工作流，位于密钥和定额之上。

谁被允许托管资产，相关规则又有哪些要求？

快速解答

这是一套拼凑而成的监管体系，而非单一的防护边界：美国有州级和联邦特许执照以及顾问托管规则；欧盟有《MiCA》下的授权CASPs；其他地区则有并行的框架，虽然在隔离、治理和审计方面存在共同主题，但并未共享统一的规则手册。合规不等于安全，本节中的每项陈述均因司法管辖区和实体而异。

在美国，现状更像是一幅拼凑而成的图景，而非统一的框架。许多严肃的托管业务都通过受监管实体进行：根据纽约州虚拟货币规则及该部门更新的2025年托管指南运营的、由纽约州金融服务部（NYDFS）特许的有限目的信托公司、全国性信托银行以及各州信托特许机构。就注册投资顾问而言，《投资顾问法》的托管规则要求其将所涵盖的客户资金和证券交由合格托管人保管；数字资产如何符合该规则仍存在争议，而美国证券交易委员会（SEC）2023年提出的《资产保障提案》（该提案原本将涵盖所有客户资产）已于2025年6月正式撤回，因此不再是待决的监管规定。尽管如此，监管机构持续强调的核心原则在适用范围内始终保持一致：将客户资产与自有资产隔离、未经同意不得进行再质押，以及建立旨在防止客户加密货币被纳入破产托管人破产财产的机制——这是2022年交易所倒闭事件带来的深刻教训。

在欧盟，《加密资产市场法规》（MiCA）将托管纳入了单一的“护照制”监管框架：提供托管服务的加密资产服务商必须获得授权，必须将客户持有的资产与自身资产隔离，必须制定明确规定密钥管理和责任的托管政策，并根据该法规的条款对托管资产的损失承担责任。其他中心——如瑞士、新加坡和阿联酋——则实行并行监管制度，虽主题相似但各有其定义；这些规定均无法自动跨境适用，托管尽职调查工作需针对各司法管辖区分别开展。

围绕规则的验证层与规则本身同样重要。SOC 1和SOC 2报告为客户提供独立审计师对控制环境的意见；储备证明（若与负债证明结合使用则效力最强）侧重于偿付能力而非安全性；保险——冷存储的实物保险、热钱包的犯罪保险——对残余风险进行定价，其免责条款如实反映了保险公司认为仍可能出现的风险。一份缺少 SOC 报告、保险证书和监管机构特许状的尽职调查文件，不过是一份宣传册。

有一条界限能确保分析的客观性：监管规范行为和结构，但本身无法阻止法定人数签署虚假文件。合规与安全是两个不同的领域，它们在治理层面交汇，而最优秀的托管机构正是那些将审计视为最低标准而非最高标准的主体。

个人能从机构操作手册中借鉴什么？

简短回答：架构，且要广泛借鉴：采用定额决策机制而非单一密钥，分层存储而非单一钱包，白名单与延时机制而非依赖自身无误，以及预演过的恢复方案而非寄希望于运气。无法缩减的是合规部门；最适合缩减的是思维方式。

逐层转化。分层架构：一个热钱包用于存放日常开销资金，即使全额损失也只会令人不快而非造成重创；一个基于多签名或MPC的分布式冷钱包，通过法定人数和延迟机制保管多数份额。本学院关于托管光谱的文章详细阐述了各种选项；机构级原则在于比例分配，以及对特定余额应归属哪一层级做出毫不留情的诚实判断。

法定多数：零售级MPC钱包和协作式托管服务如今已为个人用户提供了机构级签名特性——无需背诵助记词，密钥份额可在不同设备和监护人之间分配，且无需转移资金即可刷新。本专题中的《物理安全》一文阐述了“胁迫红利”：一种设计，即任何在场人员都无法解锁多数份额，从而改变了暴力手段所能获取的资产。遗产规划同样源于这一架构，监护人法定人数机制取代了脆弱的“遗嘱备忘录”，正如机构层面的继任机制取代了创始人的记忆。

策略：在工具支持的情况下，将常用转账目的地加入白名单；对大额转账设置自定义延迟；即使由同一人操作，也要分离角色——浏览设备绝不能是审批设备，这正是个人版“Bybit教训”的体现。在独立屏幕上验证交易内容，始终优先选择明签而非盲签，这一纪律在本学院《钱包清空》一文中已通过攻击案例记录予以论证。

恢复：机构会进行演练；个人也应如此。在将巨额财富托付给备份之前，先用微量资金进行恢复测试；测试继承人或监护人能否实际履行其职责；假设任何单一站点都可能遭遇洪水、火灾或盗窃，并检查设计能否经受住这些考验。

并借鉴这种思维转换本身。机构级的问题——即“我的资产在何种完整条件下可以转移？我拥有的任何资产是否会绕过这些条件？”——既不受司法管辖限制，也不涉及成本考量。损失记录中大多数个人托管失败案例，如拍摄种子短语、仅依赖单一设备、所有者受到胁迫、盲目批准等，都是因为未能提出这个问题。提出这个问题就是行动指南。

常见问题

托管机构与钱包提供商有何区别？

托管机构在监管框架下对客户资产行使类似占有的控制权，包括资产隔离、审计和责任承担；客户对托管机构拥有索赔权。钱包提供商则提供软件或基础设施（包括多方可信计算工具），仅凭标签本身并不能决定性质：例如，根据《MiCA》，无论品牌如何，代表客户控制加密资产或其访问手段的行为都可能构成托管。在联名签署和股份持有安排中，两者的界限确实模糊不清，因此尽职调查的问题必须精准：谁（单独或联合）可以转移或冻结资产？如果提供商倒闭会发生什么？以及每个相关司法管辖区如何界定这种安排？

对于机构而言，MPC托管是否优于多签名（multisig）？

它们都提供了相同的核心特性——法定人数授权，但权衡取舍各不相同。MPC 提供跨支持链的统一标准签名、策略隐私性，以及无需链上转移即可刷新份额的功能；多签名则提供透明且由链上强制执行的策略，但代价是需要链特有的机制以及公开的治理足迹。许多机构同时采用这两种方案：在运营中使用MPC，而将最深层的冷储备托管于多签名或定时锁定合约中。它们共有的故障模式是：当多个阈值被突破，或出现虚假签名路径时，这两种方案都会失效。

Bybit攻击者是否破解了多签机制？

实际上，没有任何签名或密钥被破解。问题出在签名工作流遭到破坏，导致审批者批准的交易负载与其屏幕显示的内容不符；随后，决策多数对恶意交易生成了真实的签名。这一区别正是本案的全部教训：授权的完整性取决于审批者能够验证的内容，这也是为何清晰的签名和独立的交易负载验证已成为 2025 年后的基准实践。

储备证明是否意味着托管方是安全的？

它旨在回答一个问题：在认证时点，链上资产是否存在？当与证明负债能够覆盖客户索赔的负债证明相结合时，其效力最为显著。它并未涉及关键治理、签名完整性、内部控制或未来可能发生的情况。应将其视为尽职调查文件中的一份材料，与SOC报告、监管状态、保险及架构等内容并列，绝不能将其视为安全证书。

个人应在何时采用机构级托管服务？

一个合理的触发点是：当损失可能对您的生活造成实质性影响时，因为所有要素——包括分布式股份、延迟、白名单、监护人恢复机制——如今都已以消费者形式存在，且成本由消费者承担。本学院关于托管系列文章中的步骤同样适用：了解托管范围，在进一步积累资产前分散授权，并在需要之前演练恢复流程。合规机制属于机构级；架构仅仅是良好的工程设计，且可向下扩展。