优币志 / 知识读本 · 安全 · 2 分钟阅读
多签通过要求多个授权方共同批准操作，降低单个密钥失误的影响。它不会自动消除风险：如果所有签名人依赖同一台电脑、同一个前端或同一份备份，形式上的多人结构仍可能共享故障。设计多签，需要同时处理权限、流程和恢复。
阈值描述授权，不描述全部安全
二比三表示三个授权方中满足两个即可执行相应操作。它可以容忍一个授权方暂时不可用，但两个授权方同时泄露也可能让攻击者获得足够权限。提高阈值能降低某些盗用风险，也会提高失联时无法操作的可能。
合约多签还可能具备模块、守卫、恢复和升级等扩展。某些模块拥有独立执行路径，因此不能只看界面显示的签名阈值就认定所有操作都必须经过同一套批准。
算例：为什么两个人也可能一起被骗
假设甲发起一笔向供应商支付一千枚代币的交易，乙按照聊天截图确认。若两人都使用被篡改的网页，并未在独立设备上核对目标地址与调用，二比三流程仍可能批准同一笔恶意操作。
有效复核应基于可独立取得的收款资料和交易内容，至少核对网络、钱包地址、收款地址、金额及调用类型。多一个点击“同意”的人，不等于多一份独立验证。
| 设计项 | 降低的风险 | 引入的责任 |
|---|---|---|
| 较高阈值 | 少数密钥被盗即执行 | 更多人员需要可用 |
| 独立设备 | 共同终端被攻破 | 维护与培训成本 |
| 恢复安排 | 设备或人员失联 | 恢复权限需妥善保护 |
变更签名人也是高风险操作
新增或移除所有者、调整阈值、启用模块等动作，往往比普通付款更有长期影响。需要规定变更理由、审批和事后复核，并核实变更后阈值仍可由剩余人员满足。离职或设备泄露后，应及时执行经过测试的替换流程。
恢复资料应包含网络、合约地址、所有者列表、阈值和相关配置。对于不同类型钱包，还可能需要脚本、公钥描述或其他策略数据。只备份若干秘密，未必足以重建完整的钱包上下文。
组织流程如何真正落地
把发起、复核和执行分工写清，设置金额阈值和紧急联系人。签名设备与备份应尽量避免共同保管，并为旅行、故障和人员失联留出可用性余量。定期用低风险交易演练，而不是等紧急情况才学习工具。
账务记录应保存交易哈希和操作理由，尤其区分普通转账、授权和钱包配置变更。如果某签名人只负责机械批准，应重新设计其复核职责，否则复杂结构只会增加管理成本。
实用检查清单
- 核对所有者、阈值、模块和额外执行路径。
- 让复核者使用独立来源核对交易内容。
- 演练签名人替换、设备故障与人员失联。
常见问题
阈值设成全员签名最安全吗？
它降低少数成员擅自执行的可能，却增加任何一人不可用就冻结操作的风险。安全与可用性需要根据团队规模和恢复能力共同设计。
多签能防止恶意授权吗？
只有签名人识别并拒绝恶意操作时才有帮助。若足够成员共同批准无限授权或危险模块，多签本身不会理解并否决其业务意图。
