Collaborative Custody adalah model penyimpanan ketika pemilik dan pihak lain ikut mengelola dan menandatangani. Dalam model multisig Bitcoin yang umum, layanan memegang kunci minoritas dan membantu pemulihan. Namanya saja tidak membuktikan pemilik memiliki cukup kunci untuk membelanjakan secara mandiri.
Unchained menggambarkan vault kolaboratifnya sebagai 2-of-3: klien memiliki dua kunci dan layanan satu. Dengan A/B milik klien dan C milik layanan, A+B, A+C atau B+C cukup; C saja tidak. Ini susunan tertentu, bukan sifat setiap produk bernama serupa. Dua perangkat dengan seed yang sama tidak memberikan perlindungan independen: kompromi seed bersama memengaruhi keduanya. [Unchained — Collaborative custody vaults] [Bitcoin Core — Output Descriptors]
Koordinator menyusun kebijakan dan bahan transaksi; penanda tangan mengendalikan kunci privat. BIP 174 memakai PSBT untuk menukar informasi dan tanda tangan parsial antarpihak. Membuat PSBT tidak menyediakan tanda tangan yang kurang. Antarmuka berbahaya tetap dapat mengusulkan penerima atau output change yang keliru dan mencoba memperoleh persetujuan sah. Periksa makna transaksi yang ditandatangani, bukan hanya jumlah perangkat terhubung. [BIP 129 — Bitcoin Secure Multisig Setup] [BIP 174 — Partially Signed Bitcoin Transaction Format]
BIP 129 menjelaskan pertukaran aman catatan kunci dan descriptor: peserta harus membandingkan kebijakan dan alamat pertama. Periksa kuorum, keanggotaan kunci, jenis skrip dan jalur derivasi; konfigurasi palsu dapat mengalihkan setoran. BIP 129 tidak mencakup ketahanan penyimpanan perangkat atau verifikasi berikutnya atas alamat penerimaan dan change. Dukungan format tidak membuktikan seluruh perangkat penandatangan aman. [BIP 129 — Bitcoin Secure Multisig Setup]
Pemulihan 2-of-3 biasa juga membutuhkan kunci publik ketiga peserta, termasuk penyedia, serta deskripsi skrip dan derivasi yang tepat. Output Descriptor atau berkas konfigurasi kompatibel menyimpan peta itu; dua seed pribadi belum tentu menciptakan kembali kunci publik pihak ketiga yang hilang. Simpan dan verifikasi ekspor saat layanan tersedia. Descriptor juga dapat berisi kunci privat, sehingga isinya perlu diperiksa sebelum dibagikan. [Bitcoin Core — Output Descriptors] [Unchained — Wallet configuration and recovery]
Dengan A+B berfungsi dan konfigurasi, model ini memungkinkan tindakan tanpa C. Jika hanya A tersisa, A+C memerlukan layanan yang tersedia dan bersedia; gangguan atau penolakan menandatangani bisa menghambat pemulihan. Jika A dan B hilang, C tidak cukup. Casa secara tegas mengasumsikan kunci pemulihannya tidak tersedia saat pemulihan tanpa infrastrukturnya. Pembelanjaan mandiri dan pemulihan berbantuan karena itu harus dinilai terpisah. [Unchained — Collaborative custody vaults] [Casa — Recovery without Casa]
Konfigurasi publik dan xpub dapat mengungkap alamat turunan dan transaksinya meski tidak menandatangani. Penyedia yang mengetahuinya dapat melihat aktivitas; hubungan dengan identitas juga bergantung pada akun dan catatannya. Nilai kemampuan membelanjakan terpisah dari kemampuan mengamati. “Layanan tidak dapat membelanjakan sendiri” berlaku bagi kunci dan kebijakan yang dijelaskan, bukan setelah memperoleh kunci klien lain atau menipu penanda tangan. [BIP 129 — Bitcoin Secure Multisig Setup] [Bitcoin Core — Output Descriptors]
Pada output multisig biasa, mengganti nama kunci di aplikasi tidak menulis ulang skrip blockchain. Menyingkirkan kunci hilang atau bocor membutuhkan kebijakan baru dan pemindahan UTXO terkait yang terkonfirmasi. Lalu periksa sisa di alamat lama serta perbarui konfigurasi dan petunjuk ahli waris. Menghapus akses akun tidak mencabut kunci tanda tangan valid; penyerahan dalam keluarga harus dinilai dari kombinasi sebenarnya. [Bitcoin Core — Output Descriptors]
Pada dompet uji terpisah, verifikasi impor konfigurasi tersimpan ke alat kompatibel, kecocokan alamat dan tanda tangan kuorum sendiri tanpa layanan. Caravan adalah koordinator terbuka; periksa dukungan perangkat dan format tertentu. Impor watch-only membuktikan dompet ditemukan, bukan kemampuan menandatangani. Sertakan pemulihan berbantuan, biaya, change dan kunci yang tidak tersedia. Catat versi dan hasil, bukan sekadar janji pemasaran tentang pemulihan. [BIP 174 — Partially Signed Bitcoin Transaction Format] [Casa — Recovery without Casa] [Caravan — Open-source coordinator]
Untuk gambaran yang lebih utuh, baca entri ini bersama Multisig, Kustodi mandiri, Output Descriptor, PSBT, Bitcoin Inheritance Plan, Counterparty risk. Entri ini juga dirujuk dari Bitcoin Inheritance Plan, Institutional custody.