Kao neko ko se godinama vrti oko novca, prvo sam morao sebi priznati koliko je moja predstava o nasljeđivanju bila zastarjela. Mislio sam da je dovoljno u testamentu napisati gdje se šta nalazi i kome šta pripada. Kod stana, računa u banci i automobila to uglavnom prolazi. Kod samostalnog čuvanja kriptovaluta, takozvanog self-custody novčanika, to pada na prvom koraku.
Razlog je jednostavan i pomalo_itreći. Blokčejn nema matičnu knjigu umrlih. Adresa i dalje postoji, tokeni i dalje stoje na njoj, staking i dalje kaplje, pozajmica osigurana kolateralom i dalje živi svoj život u pametnom ugovoru. Mreža ne zna da ste umrli i ne zanima je ko je izvršilac oporuke. Jedino pitanje koje mreža postavlja glasi, da li transakcija nosi valjan kriptografski potpis.
Tu nastaje raskol koji oba teksta koja sam čitao postavljaju kao središte cijele priče. Jedna je pravna kontrola, pravo da se imovinom upravlja i da se ona naslijedi. Druga je tehnička kontrola, sposobnost da se napravi potpis i pokrene prijenos. Izvršilac oporuke može imati puni pravni legitimitet, pečat suda i umrlicu, a da ne može pomjeriti ni cent. S druge strane, bilo ko ko se dokopa privatnih ključeva može isprazniti novčanik, iako na njega nema nikakvo pravo.
Kastodi i samostalno čuvanje nisu ista igra
Ova razlika najbolje se vidi kada uporedimo mjenjačnicu i kućni hardverski novčanik.
Kod kastodijalnog računa ključeve drži firma. Nasljednik ili izvršilac oporuke donosi dokumente, prolazi provjeru identiteta, čeka proceduru i često, uz dosta papirologije, dođe do sredstava. Problemi su spori postupci, pravila firme, zatvoreni računi i granice među državama, ali postoji neko kome se možete obratiti.
Kod nekastodijalnog novčanika nema firme, nema šefa, nema dugmeta za reset lozinke. Vlasnik drži ključeve, a s njima i cijelu odgovornost. Ako se izgubi seed fraza, ona fraza za oporavak od 12 ili 24 riječi, ili se izgubi dodatna zaporka i konfiguracija, pomoć ne stiže ni od podrške ni od suda. Imovina ostaje vidljiva na blokčejnu, ali nedodirljiva.
Meni je to trijezno i oslobađajuće u isto vrijeme. Trijezno jer pokazuje koliko je lako da porodični novac nestane u tišini. Oslobađajuće jer, kada se pravila shvate, plan se može napraviti unaprijed, bez panike i bez improvizacije nasljednika.
Zašto je testament loše mjesto za tajnu
Ovdje dolazimo do najopasnije navike. Ljudi upišu seed frazu direktno u testament, misleći da su bili temeljiti.
Ostavinski spis u mnogim sistemima postaje javan ili polujavan dokument. Original se predaje sudu, kopiraju ga službenici, stranke, advokati, ponekad završi u zgradi suda gdje ga svako ovlašten može pregledati. U američkim primjerima koji se navode, od Njujorka do Masačusetsa, pravilo je slično, transparentnost postupka ima prednost nad tajnošću priloga. Čak i gdje spis nije na internetu, lanac ljudi koji ga vidi je predug da bi čuvao tajnu vrijednu možda desetine hiljada eura.
Seed fraza nije broj računa. Ona je bliža potpisanom blanko čeku ili ključu od sefa. Ko je vidi, taj troši. Zato poruka iz oba izvora glasi isto, testament treba da daje ovlaštenje, a ne pristup.
Šta onda treba da piše u testamentu ili trustu. Ovlaštenje povjereniku da osigura uređaje, upravlja digitalnom imovinom i virtuelnim valutama, pristupi kastodijalnim računima, angažuje stručnjake za pravo, porez i blokčejn, plati mrežne naknade, prenese imovinu u naturi ili je likvidira, vodi staking, pozajmice i upravljačka prava, prikupi poreznu evidenciju i raspodijeli ostatak. Sam spisak ključeva ostaje izvan tog dokumenta, u posebnom sloju.
Dopao mi se taj model od tri sloja koji autori predlažu. Prvi sloj su pravni dokumenti, ko odlučuje i ko nasljeđuje. Drugi sloj je ograničena mapa imovine, šta postoji, na kojoj mreži, u kom novčaniku, po kom standardu sigurnosne kopije, gdje su dijelovi za oporavak, ali bez dovoljno materijala da se novac potroši. Treći sloj su same tajne, van mreže, odvojeno od oporuke. Ta disciplina razdvajanja je, po mom sudu, najveća vrijednost cijelog pristupa.
Usput, vrijedi zapamtiti da ni javna adresa nije bezazlena. Ona ne daje pristup, ali otkriva stanje, istoriju, tokene i pozicije. Kada se takva adresa nađe u javnom spisu, ostavinski predmet postaje katalog meta za prevarante. U danima žalosti, kada porodica skuplja uređaje i čeka upute, lažna podrška za novčanike i fišing poruke imaju plodno tlo.
Prekidač za slučaj smrti zvuči pametno dok ga život ne demantuje
Druga zamka je automatizacija koja obećava da će sve riješiti sama. Vlasnik podesi da mu servis u oblaku pošalje seed frazu nasljednicima poslije nekoliko mjeseci neaktivnosti, ili da pametni ugovor sam prenese imovinu kada tajmer istekne. Elegantno na papiru, krhko u praksi.
Neaktivnost nije dokaz smrti. Živ čovjek propusti potvrdu jer je u bolnici, na putu, jer mu je ukraden telefon, jer je promijenio broj, zaboravio podsjetnik ili upao u problem s prijavom. Ako sistem tada objavi ključ, jedan propust briše cijeli novčanik.
Moguć je i suprotan scenario. Sistem se nikada ne aktivira jer telefon i dalje sinhronizuje poštu, aplikacija i dalje pokazuje aktivnost, neko od ukućana koristi računar pokojnika ili napadač namjerno održava nalog živim. Primjer sa Googleovim upraviteljem neaktivnih računa to dobro pokazuje, pozadinska aktivnost uređaja stvara privid da je korisnik tu.
Na to se dodaje zavisnost od firme koja drži servis. Ona može ukinuti funkciju, zatvoriti račun, promijeniti uslove korištenja ili obrisati podatke po pravilima o neaktivnosti. Pametni ugovori rješavaju dio problema, s pravilima o starateljima i višestrukim potpisima, ali ni oni ne znaju da je neko umro. Oni znaju samo da je isteklo vrijeme ili da je dovoljan broj staratelja kliknuo dugme. Uz to nose rizik greške u kodu, ključa za nadogradnju, orakula i releja.
Zato mi je bliska rečenica koja se provlači kroz oba izvora, automatizaciju koristite da pokrenete postupak, a ne da dovršite kriptografski prijenos. Podsjetnik da se plan pregleda, obavijest advokatu, paket uputa bez tajni, to da. Automatsko slanje kompletne fraze, to ne.
Rješenje bez magije, prag, hardver i proba
Ono što me je uvjerilo da nasljeđivanje nije bauk jeste protokol u četiri koraka. Nije jednostavan kao jedna kovertа u fioci, ali nije ni nauka za inženjere.
Prvi korak je mapa bez tajni. Popišete mreže, adrese za prijem, vrstu čuvanja, aplikaciju, model hardverskog uređaja, standard sigurnosne kopije, derivacione putanje, DeFi pozicije, dugove osigurane kolateralom, mjesto porezne evidencije. Razlikujete stabilni token na jednoj mreži od istog tokena na drugoj, token u novčaniku od tokena zaključanog u protokolu za pozajmljivanje. Bez toga izvršilac oporuke luta.
Drugi korak je oporavak zasnovan na pragu. Umjesto jedne papirne kopije, tajna se matematički dijeli na više dijelova tako da nijedan sam ne otkriva ništa korisno. Najpoznatiji primjer je SLIP39, gdje postavka 2 od 3 znači da bilo koja dva dijela od tri obnavljaju novčanik, a jedan sam ne znači ništa. Za većinu domaćinstava 2 od 3 je mjera između sigurnosti i izvodljivosti. Za veće portfelje pominje se 3 od 5. Postavke poput 3 od 3 ili 2 od 2 su krhke, gubitak jednog dijela znači trajni gubitak.
Važno upozorenje koje oba teksta ponavljaju, nemojte ručno sjeći BIP39 frazu na pola. Prvih 12 riječi ovdje, drugih 12 ondje, to nije kriptografska podjela. To je slagalica s curenjem informacija, bez standarda i bez jasnog redoslijeda za nasljednike. Ako novčanik ne podržava izvorno prag, pravi se novi novčanik na kompatibilnom uređaju, generišu se dijelovi na samom uređaju, pa se ide s malim probnim iznosom, oporavkom na drugom uređaju i tek onda selidbom glavnice.
Dijelovi se čuvaju na nezavisnim fizičkim lokacijama, ne u tri koverte u istoj kući koje dijеle isti požar i istu provalu. Jedan dio kod vlasnika uz jasan pravni put za izvršioca, drugi kod advokata ili profesionalnog čuvara uz pisana pravila predaje, treći geografski odvojeno. Na svakom dijelu piše oznaka plana, broj dijela, prag, standard i datum, ali ne pišu vrijednost portfelja, druge lokacije ni dodatna zaporka.
Posebna priča je BIP39 dodatna zaporka, passphrase. Ona pravi potpuno drugi novčanik iz iste fraze, osjetljiva je na svako slovo, razmak i znak. Pogrešna zaporka otvara prazan novčanik bez greške, pa čovjek pomisli da je novac nestao. Za porodicu bez tehničkog znanja jednostavnija podjela s pragom često je sigurnija od petljanja s dodatnom zaporkom. Ako zaporka već postoji, mora se čuvati kao poseban faktor, tačno zapisana i testirana s cijelim oporavkom.
Alternativa je multisig, gdje dva od tri nezavisna ključa potpisuju, bez spajanja u jednu tajnu. Odličan je za bitkoin portfelje veće vrijednosti, ali traži disciplinu oko deskriptora novčanika, javnih ključeva, praga i derivacija. Nasljednik s dvije seed fraze, ali bez konfiguracije, i dalje ne može do sredstava. Za imovinu na više mreža, standardizovani hardverski dijelovi su jednostavniji.
Treći korak je uputstvo pisano za početnika. Prva strana ne smije biti teorija, nego pravila za vanredne situacije. Ne unositi riječi u telefon, računar, veb stranicu, imejl ili čet. Ne fotografisati i ne čitati naglas. Ne pogađati PIN više puta. Ne resetovati uređaj. Ne javljati se na poruke stručnjaka za oporavak. Zvati izvršioca, advokata i tehničkog operatera s odštampanih kontakata. Ne seliti imovinu dok se ne potvrde ovlaštenje i odredište. Dvije osobe prisutne, bez kamera i bez dijeljenja ekrana.
Tehnički operater je ovdje ključna figura. On pomaže da se prepozna hardver, instalira zvanični softver, potvrdi standard, rekonstruiše novčanik, pronađu nalozi i pripremi nepotpisana transakcija. On ne odlučuje o nasljednicima, ne bira odredišnu adresu i ne smije sam ostati s materijalom. Pravne odluke donosi povjerenik, tehnika samo asistira pod nadzorom.
Četvrti korak je kontrolisani prijenos. Prvo se potvrdi ko ima pravo da djeluje, izvršilac kojeg je imenovao sud ili nasledni povjerenik trusta. Zatim se osigura fizički materijal, popiše stanje s datumom, adresama, količinama, mrežama, dugovima i osnovicom za porez. Odredište se pripremi prije sastavljanja dijelova, privremeni novčanik ostavine, račun kod regulisanog čuvara, novi hardverski novčanik nasljednika ili ovlašteni račun na mjenjačnici za likvidaciju. Adresa se provjerava na ekranu hardverskog uređaja, u paru, cijela, s mrežom i oznakom ako treba. Onda ide mala proba za svaku mrežu, čeka se potvrda, bilježi identifikator transakcije, pa tek onda ostatak. Bez nepotrebnih zamjena i mostova usput, svaka dodatna radnja je novi rizik i novi porezni događaj.
Meni se sviđa završna higijena koja se često zaboravlja. Oporavljeni novčanik pokojnika tretira se kao izložen i ne postaje trajni novčanik nasljednika. Privremeni uređaji se brišu, neiskorišteni dijelovi vraćaju na čuvana mjesta, stare adrese se nadgledaju zbog naknadnih uplata, a originalni materijal se čuva dok se ne potvrdi da nema zaostalih nagrada, povrata i potraživanja.
Greške koje prave i pametni ljudi
Spisak klasičnih grešaka vrijedi zalijepiti na frižider. Seed u testamentu. Kompletna fraza data jednom nasljedniku unaprijed, pa njegov telefon i njegovi dugovi postaju vaš rizik. Sječenje fraze na grupe riječi. Svi dijelovi u istoj zgradi. Uređaj i kopija zajedno u istom sefu. Oslanjanje na PIN kao plan, iako PIN ne spašava pokvaren uređaj. Zaboravljena dodatna zaporka. Multisig bez sačuvane konfiguracije. Fraza u običnom imejlu ili oblaku. Automatski prekidač kao jedini plan. Token bez oznake mreže, pa niko ne zna čime platiti naknadu. Zaboravljen staking i kolateral. Selidba svega odjednom bez probe. Tehničar koji sam radi s kompletnom tajnom. I najčešće, plan koji se nikada ne ažurira nakon promjene novčanika, adrese ili izvršioca.
Ni trošak ne treba preuveličavati ni potcijeniti. Advokat za nasljedno pravo, dodatni hardverski uređaj za probu, metalna pločica otporna na požar i vodu, sef ili profesionalno čuvanje, eventualno multisig koordinator ili regulisani čuvar, mrežne i mjenjačke naknade, porezni savjet i vrijeme za vježbu. Za novčanik od nekoliko stotina eura institucionalna mašinerija nema smisla. Testirana kopija i jasna uputa vrijede više od složene šeme koju niko ne vježba. Kako vrijednost i složenost rastu, tako profesionalna podrška postaje racionalna.
Ono što iz oba izvora izbija kao zajednički stav jeste da se složenost plaća dva puta, novcem i rizikom od gubitka. Zato se bira najjednostavnija arhitektura koja pokriva toleranciju na jedan kvar, bez tajni u javnim spisima, bez jedne fizičke tačke otkaza i bez koraka gdje nasljednik mora improvizovati.
Ja u tome vidim afirmativnu poruku za cijelu kripto zajednicu. Samostalno čuvanje često se prikazuje kao ili potpuna sloboda ili potpuni rizik. Ovi izvori pokazuju treći put, slobodu uz proceduru. Pravni dokument odgovara ko ima pravo. Mapa odgovara šta postoji. Prag odgovara kako se pristup obnavlja bez jedne ranjive kopije. Uputa odgovara kojim redom se radi. Prijenos odgovara gdje imovina ide i kako se to dokumentuje. Kada se tih pet pitanja razdvoji, nestaje i mit da se kripto ne može naslijediti i mit da je dovoljno ostaviti papir s riječima u ladici.
Ako danas držite bilo šta ozbiljno na hardverskom novčaniku, moj autorski savjet je prizeman. Maknite tajne iz oporuke, napravite mapu bez tajni, pređite na provjereni prag 2 od 3 ili pošten multisig, odvojite uređaj od kopija, napišite uputu za nekoga ko nikada nije vidio novčanik, odredite operatera pod kontrolom i testirajte oporavak s malim iznosom. Stavite datum i broj verzije na svaku kopiju i ponovite vježbu kada promijenite uređaj, mrežu, adresu ili ljude.
Novac koji ste čuvali s toliko pažnje zaslužuje da preživi i vas, ali na način koji ste vi odabrali, a ne slučajnošću, srećom ili snalažljivošću ožalošćenih.
IZVORI