We have a multisig.

“We have a multisig”是大多数项目在你问起谁掌控资金时给出的回答。

它听起来像是问题的终点。其实它是问题的起点。

这是我们“Safe, they said.”系列的第三篇。十句项目方用来安抚你的话，每周一句。下面拆开看第三句。

一段话说清什么是 multisig

Multisig 是一种需要不止一把密钥才能转移任何东西的钱包。“五选三”的意思是：五个人各持一把密钥，其中任意三人必须签名。一把密钥丢失或被盗，不足以把它掏空。

与单一密钥相比，这是一个实实在在的进步。它回答了一个问题：如果某个人犯了错或者消失了，会怎样？其他问题它没有回答。

问题一：谁的密钥？

同一个团队、同一间办公室、同一个聊天群里五台笔记本电脑上的五把密钥，更接近一把密钥，而不是五把。它们有着同样的习惯、同样的软件，也面对同样可能欺骗它们持有者的人。

2026 年 7 月，交易平台 AFX 的一个跨链 Bridge 损失了约 2400 万美元，这是安全公司 Halborn 的统计。它的转账需要七个验证者中三分之二的票数。攻击者掌握了其中五个的密钥。合约检查了签名，判定有效，然后付了款。

代码所做的，正是它被设计要做的事。门槛是由错误的人达到的。

问题二：签名者看到了什么？

签名者批准的是屏幕上显示的内容。2025 年 2 月，交易所 Bybit 从一个 multisig 钱包中损失了约 15 亿美元。据参与调查的取证公司以及钱包软件提供方 Safe 的说法，攻击者替换了该钱包网站上的代码，并提交了一笔伪装过的交易。签名者批准的，看起来是一笔例行转账。

如果所有人看的都是同一块被篡改的屏幕，再多的签名者也无济于事。

问题三：multisig 能改变什么？

这是被问得最少的问题。

一个保管资金的 multisig 是托管方。一个还能改变规则、升级合约或改变资金去向的 multisig，是一个拥有最终决定权的小委员会。“We have a multisig”并没有说明它是两者中的哪一种。

问题四：还有时间说不吗？

如果一项决定在最后一把密钥签名的那一刻就生效，就没有人能阻止一项糟糕的决定。签名与执行之间的一段延迟，即 timelock，让其他所有人有时间看到它的到来并作出反应。AFX 的 Bridge 的争议窗口是 200 秒。

如何为任何代币核查

做这件事不需要相信任何网站，包括我们的。

1. 找到 multisig 的地址。它应当是公开的，并且可以在任何区块浏览器中打开。
2. 在那里读取门槛和签名者人数，而不是在项目方的网站上。
3. 问一问签名者是谁，以及他们是否彼此独立。
4. 看看 multisig 被允许做什么：保管资金，还是也能升级合约和改变规则。
5. 找一找执行前是否有延迟，以及在这段时间里谁能叫停一笔交易。

SHIBC 的情况

SHIBC 代币合约没有所有者。它的所有权已于 2024 年 11 月被放弃，因此不存在任何密钥，无论是单一的还是共有的，能够更改它。

DAO 的设置也受到同样的保护。只有 DAO 自己才能更改它的投票规则或升级它的投票插件。维护这个项目的人在那里没有任何特殊角色。任何人都可以在链上查看这些权限，我们的白皮书在第 6.6 节列出了它们。

对于将来会持有价值的部分，计划写在白皮书第 7.4 节：一个作为密钥托管方的 multisig，其门槛能够承受失去一名密钥持有人。还有一条不会让步的规则：multisig 保管密钥，它不改变 DAO 制定的规则。

我们从中得到什么

Multisig 是一把好锁。它能否保护你，取决于谁持有密钥、签名者签名时看到了什么、这把锁被允许打开什么，以及是否有人有时间说不。

我们对代币应当如何运作的看法：Custodian, yes. Override, no.（可以托管，不能推翻。）公开地址、门槛和签名者。并且在任何事情发生之前，给其他所有人提出异议的时间。

下周，第四篇：“The community decides.”