去年11月，一个链游工作室的TP钱包热钱包被洗劫。12万USDT和几个蓝筹NFT吧？发现异常到归零不还有七分钟了。原因很老套，唯一知道助记词的合伙人点开了一个伪装成“合作提案”的压缩包。单签钱包的脆弱性在这一刻暴露无遗，没有第二个人能踩刹车的。事后复盘，团队决定启用tpwallet钱包多签安全方案。准确说，是一个3/5多签钱包，五个私钥分别锁在两台离线旧手机、一个Ledger、法务的保险柜，以及海外顾问的加密云盘。
每笔超过5000美元的转出，需要至少三台设备在TP钱包里依次签名的。第一次测试。他们故意让一台离线手机不联网，交易果然卡在“待签名”状态，直到补上第三签才广播的。
这个笨办法后来成了他们的肌肉记忆。今年3月，钓鱼攻击卷土重来。一个冒充投资人的Telegram账号发来“条款更新”的压缩包，一名成员在常用电脑上解压，私钥文件被读取。攻击者只拿到一把私钥，面对3/5阈值无法构造有效交易了。链上监控机器人发出异常授权请求警报后，团队用。另外两个冷钱包签名，把剩余资金转移到了新地址。
发现到完成迁移的，花了不还有两小时。tpwallet钱包多签安全不是万能药。我见过有人把五个私钥全塞在同一台电脑的不同文件夹，这跟单签没区别了。也见过为了省事把阈值设成1/2，结果一把私钥泄露就全盘皆输。多签的本质是分散信任。但不是走形式。
用TP钱包做多签之前，先问自己。谁管私钥、设备怎么隔离、应急流程能不能在十分钟内跑通啊？
