كيفية إعداد محفظة Monero متعددة التواقيع (Multisig) في عام 2026

في أبريل 2025، كشف أحد المساهمين القدامى في مشروع Monero علنًا أن جهاز حاسوب محمول واحد مُخترَق كاد أن يُكلّف مشروعًا ممولًا من المجتمع 47 XMR — أي ما يعادل تقريبًا 8,400 دولار وفقًا لأسعار ذلك الوقت — لأن خزينة المشروع بكاملها كانت محفوظة خلف مفتاح إنفاق (Spend key) واحد على جهاز واحد. الإنقاذ جاء من محفظة multisig بنمط 2-of-3 جرى إعدادها على عجل في الليلة السابقة للاختراق. تلك الحادثة، التي نوقشت باستفاضة على Reddit وفي قناة #monero-dev عبر IRC، نقلت موضوع multisig من خانة "أمر مستحب" إلى صلب النقاش العام حول كيفية تخزين أي كمية ذات قيمة من XMR. إذا كنت قد قرأت عن multisig من قبل ولكنك لم تخض تجربة جولات التبادل خطوة بخطوة، فهذا الدليل هو ما ستحتاج إلى فتحه في علامة تبويب مجاورة أثناء التنفيذ. سنشرح الأساس التشفيري، وخيارات الإعداد، وتسلسل أوامر CLI الدقيق على الإصدار الأحدث 0.18.4.x — كما سنوضّح أين يأتي دور MoneroSwapper حين تحتاج لاحقًا إلى تغذية عنوان multisig حديث الإنشاء دون التضحية بخصوصيتك.

لماذا تُعدّ Multisig أهم بالنسبة إلى Monero مقارنةً بالعملات الأخرى؟

multisig في Bitcoin مسألة محلولة منذ زمن: محافظ الأجهزة تدعمها افتراضيًا، وبرامج مثل Sparrow وSpecter تُسهّل تدفّق PSBT، ومعايير السكربتات مستقرة منذ ما يقارب العقد. أما multisig في Monero فهي أحدث عمرًا، وأكثر حساسية، وأصعب في الاسترداد عند وقوع خطأ — وهذا تحديدًا ما يجعل تنفيذها بالشكل الصحيح أمرًا بالغ الأهمية. نموذج التهديد الذي يواجهه مستخدم Monero يختلف جوهريًا عن نموذج التهديد لدى حامل Bitcoin النموذجي.

• لا يوجد رسم بياني عام للعناوين: بفضل اعتماد كل معاملة على عنوان شبحي (stealth address) إلى جانب توقيعات الحلقة وRingCT، فإن السارق الذي يستولي على مفتاح الإنفاق لا يمكن تتبّعه عبر مستكشف الكتل. لا توجد شركة تحليلات سلسلة كتل تتصل بها. بمجرد خروج الأموال، فقد ضاعت — وmultisig هي إحدى الآليات النادرة التي تمنع اختراق مفتاح واحد من إنهاء القصة.
• تسريب البذرة (Mnemonic) كارثة شاملة: تسريب البذرة المؤلفة من 25 كلمة يُعيد بناء تاريخ المحفظة بأكمله بأثر رجعي، لأن كلًا من مفتاح العرض (View key) ومفتاح الإنفاق مشتق منها. تقسيم هذه البذرة الجذرية على عدة موقّعين عبر multisig يعني أنه لا يوجد تسريب فردي قاتل.
• الميراث وخزائن الفرق: أموال التبرعات، وحسابات الضمان للمشاريع، وخطط الميراث العائلي، جميعها تتطلب سياسات M-of-N بحيث لا يؤدي تعطُّل أي حامل مفرد إلى تجميد الأموال. المحافظ ذات التوقيع الفردي ببساطة لا تستطيع التعبير عن هذا الاحتياج.
• مخاطر الحفظ الوصائي لم تختفِ: منصات التداول المركزية تواصل شطب Monero — فقد سحبت Kraken عملة XMR من عملائها في الاتحاد الأوروبي في أواخر 2024، وسبق أن فعلت Binance الشيء نفسه قبل عام. الاحتفاظ بالأرصدة داخل منصات التداول ليس خيارًا طويل الأمد لمستخدمي Monero، مما يجعل الحفظ الذاتي المتين ضرورة لا غنى عنها.

أضف إلى ذلك الضغط التنظيمي الأوسع على عملات الخصوصية الذي يتجلى في إطار MiCA الأوروبي، وفي تحديثات إرشادات FinCEN لعام 2025، إضافة إلى توجيهات FATF الخاصة بمعيار CARF التي بدأت دول الخليج بتبنّيها — تحديدًا الإمارات عبر هيئة الأوراق المالية والسلع (SCA) والمملكة العربية السعودية عبر هيئة السوق المالية (CMA) — وستتضح حتمية الانتقال إلى حفظ ذاتي متطوّر. multisig هي الإجابة لأي شخص يحتفظ بأكثر من بضعة مئات من الدولارات بقيمة XMR ولا يحتمل خسارتها بسبب خطأ منفرد.

كيف تعمل Monero Multisig فعليًا تحت الغطاء؟

إذا كنت قد استخدمت multisig في Bitcoin فقط، فإن النهج المتّبع في Monero سيبدو غريبًا. لا يوجد أمر تشغيلي (Opcode) في سكربت من قبيل OP_CHECKMULTISIG؛ بل تعتمد Monero على بروتوكول تبادل مفاتيح تفاعلي متعدد الجولات يقوم على مخطط توقيع CLSAG. المشاركون لا يكتفون بدمج مفاتيحهم العامة — بل يبنون تعاونيًا مفاتيح عرض ومفاتيح إنفاق مشتركة عبر عدة جولات من استدعاءات prepare_multisig وmake_multisig و(عندما يكون N أكبر من 2) exchange_multisig_keys.

هيكل الجولات

بالنسبة لمحفظة بسيطة بنمط 2-of-2، تكون مراسم الإعداد قصيرة: كل مشارك يُشغّل prepare_multisig، ثم يتبادل سلسلة MultisigxV2 الناتجة مع الطرف الآخر، ثم يُشغّل make_multisig باستخدام سلسلة الشريك، وتصبح المحفظة جاهزة. أما بالنسبة لـ M-of-N حين تكون N تساوي ثلاثة أو أكثر، فيجب إضافةً إلى ذلك تشغيل exchange_multisig_keys لعدد جولات يساوي N − M + 1. وبناءً عليه، فإن محفظة 2-of-3 تتطلب جولتين من هذا النوع، ومحفظة 3-of-5 تتطلب ثلاث جولات. كل جولة تُنتج سلسلة خرج يجب مشاركتها مع باقي المشاركين قبل بدء الجولة التالية.

توقيع المعاملات

بمجرد الانتهاء من إعداد المحفظة، يكون تدفق التوقيع تفاعليًا بدوره. المُبادر يستدعي transfer بالشكل المعتاد، فيُنتج ملف معاملة غير موقّعة. يُصدَّر هذا الملف، ثم يُمرَّر إلى الموقّع المشارك عبر قناة خارجة عن النطاق (بريد مشفّر، شريحة USB، Signal — لا يُرسَل أبدًا عبر mempool العادية)، ويُعاد استيراده على جانب الموقّع الآخر. يُشغّل الموقّع المشارك sign_multisig فيُنتج ملف معاملة موقّعة، يُرسَل بعد ذلك للتنفيذ (إذا اكتمل الحدّ الأدنى) أو يُمرَّر إلى الموقّع التالي. ولأنه يجب على كل موقّع مشاركة المخرجات الجديدة بعد كل معاملة عبر export_multisig_info وimport_multisig_info، فإن سير العمل ثرثار بطبيعته وبصورة مقصودة.

ما الذي سيتغيّر مع FCMP++ وSeraphis؟

ترقية FCMP++ المرتقبة، إضافةً إلى التحوّل طويل الأمد نحو Seraphis / Jamtis في صياغة العناوين، كلاهما يمسّ مساحة multisig. الخبر الجيّد هو أن دلالات تبادل مفاتيح multisig تبقى متوافقة — فالبناء الجديد للحلقات وتنسيق العناوين الجديد لا يُغيّران الطريقة التي تُجمَع بها مفاتيح M-of-N. الخبر السيّئ هو أن محافظ multisig الحالية ستحتاج إلى إعادة تهيئة بمجرد تحوّل الشبكة لاستخدام مخطط العناوين الجديد، تمامًا كما هو الحال مع محافظ التوقيع الفردي. لذلك فإن كل من يُعدّ multisig خلال 2026 ينبغي أن يخطط لإجراء مراسم جديدة بعد التشعّب (fork)، بدلًا من توقّع ترقيات في المكان نفسه.

مقارنة بين إعدادات Multisig

اختيار M-of-N لا علاقة له بالتشفير، بل يتعلّق بالكامل بالمخاطر التشغيلية. فيما يلي مصفوفة ننصح بمراجعتها قبل فتح الطرفية.

الغالبية العظمى من المستخدمين الأفراد ينبغي أن يعتمدوا 2-of-3. فهو يتحمّل بالضبط أنماط الفشل الأكثر شيوعًا في الواقع — نسخة احتياطية ضائعة، حاسوب مسروق، عبارة مرور منسيّة — مع إبقاء مراسم التوقيع قابلة للإدارة. سيركّز باقي هذا الدليل على 2-of-3 خطوة بخطوة، لكن الأوامر نفسها تنطبق على أي M-of-N مع تعديل عدد الجولات.

خطوة بخطوة: بناء محفظة Multisig بنمط 2-of-3

ستحتاج إلى ثلاث آلات أو ثلاثة نُسخ مستقلة من المحفظة. الفصل الجغرافي الحقيقي مهم: حاسوب محمول في مطبخك وحاسوب محمول على مكتبك ليسا "ثلاثة مواقع". اسعَ إلى وجود آلة واحدة على الأقل خارج الشبكة، ويُفضّل أن تكون شريحة Tails USB معزولة هوائيًا، وموقّع واحد مدعوم بجهاز إن أمكن. التعليمات أدناه تفترض استخدام monero-wallet-cli إصدار 0.18.4.0 أو أحدث على الآلات الثلاث.

1. أنشئ ثلاث محافظ قياسية جديدة. على كل آلة، نفّذ الأمر monero-wallet-cli --generate-new-wallet=signer1.keys (مع تغيير اسم الملف لكل موقّع). اختر عبارات مرور قوية. دوّن كل بذرة (Mnemonic) من 25 كلمة على ورق أو فولاذ خارج الإنترنت — هذه ليست النسخة الاحتياطية الخاصة بـ multisig، لكنك ستحتاج إليها إن احتجت يومًا إلى إعادة بناء أحد الموقّعين.
2. هيّئ كل محفظة. افتح كل محفظة ونفّذ prepare_multisig. تُخرج المحفظة سلسلة base58 طويلة تبدأ بـ MultisigxV2. انسخ تلك السلسلة من كل محفظة من الثلاث — سيكون لديك ثلاث سلاسل تحضير متمايزة.
3. جولة التبادل الأولى. على كل موقّع، نفّذ make_multisig 2 <سلسلة-من-الموقّع-A> <سلسلة-من-الموقّع-B> مستخدمًا سلاسل المشاركَين الآخرَين (وليس سلسلتك). كل موقّع يُنتج الآن سلسلة من الجولة الثانية. شاركوا تلك السلاسل.
4. جولة التبادل الثانية. على كل موقّع، نفّذ exchange_multisig_keys <سلسلة-الجولة2-A> <سلسلة-الجولة2-B> مستخدمًا سلاسل الجولة الثانية من المشاركَين الآخرَين. ستُبلّغك المحفظة بأن "محفظة multisig أُنشئت بنجاح" وتعرض العنوان المشترك. تحقّق من أن جميع الموقّعين الثلاثة يرون العنوان الأساسي ذاته بدقة — فإن اختلف أي حرف منفرد، فالمراسم فشلت ويجب إعادتها من البداية.
5. احفظ نسخًا احتياطية من ملفات محفظة multisig. ملفات .keys على كل آلة تمثل الآن حصة ذلك الموقّع. احفظ نسخًا احتياطية منها في تخزين مشفّر خارج الإنترنت. الأهم من ذلك: لا يمكنك استرداد محفظة 2-of-3 multisig من البذرة وحدها — تحتاج إلى ملف المفاتيح الخاص بـ multisig من اثنين على الأقل من الموقّعين الثلاثة. هذا هو السبب الأكثر شيوعًا للخسارة الكاملة.
6. موّل معاملة اختبارية. أرسل مبلغًا صغيرًا — يكفي 0.05 XMR — إلى العنوان المشترك وتحقّق من أن الموقّعين الثلاثة يرون الرصيد الوارد بعد نحو عشرين تأكيدًا. لا تتجاوز هذه الخطوة. المعاملة الاختبارية التي تفشل تكشف أخطاء الإعداد بينما يكون المبلغ المعرّض للخطر صغيرًا فقط.
7. تدرّب على عملية إنفاق. من أحد الموقّعين، نفّذ transfer <الوجهة> 0.01. تُنتج المحفظة ملف معاملة غير موقّعة داخل ~/Monero/multisig_monero_tx. انقل الملف إلى موقّع ثانٍ (شريحة USB، مرفق مشفّر). على الموقّع الثاني، نفّذ sign_multisig multisig_monero_tx. أرسل الملف الموقّع الناتج من أي موقّع باستخدام submit_multisig. تأكّد من ظهور المعاملة على السلسلة.
8. وثّق خطة الاسترداد. اكتب وثيقة من صفحة واحدة تصف موقع ملف مفاتيح كل موقّع، ومن يحتفظ بكل عبارة مرور، والتسلسل الدقيق للأوامر اللازمة للإنفاق. احفظ نسخًا من تلك الوثيقة لدى طرفين موثوقَين على الأقل (محامٍ، فرد من العائلة، شريك مؤسس). لا تُضمّن عبارات المرور في الوثيقة — اقتصر على المواقع والإجراءات فقط.

محفظة multisig لم تُنفق منها مطلقًا هي محفظة multisig لا تملكها فعليًا. أجرِ دائمًا اختبار معاملة كاملة على الأقل قبل إرسال أي أموال حقيقية إلى العنوان.

مثال واقعي: إعداد ميراثي مع فصل جغرافي

تأمّل إعدادًا ميراثيًا نموذجيًا إلى حدّ ما بنمط 2-of-3 رأينا أعضاء مجتمع Monero يصفونه على /r/Monero خلال 2025. الحامل الرئيسي يقيم في دبي. يحتفظ بالموقّع 1 على حاسوبه المحمول اليومي الذي يعمل بنظام Whonix، ويحتفظ بالموقّع 2 على جهاز ThinkPad قديم بوضع الطيران الدائم داخل خزنة في منزل والديه في الشارقة، ويحتفظ بالموقّع 3 على شريحة USB مشفّرة بحوزة محامٍ في الرياض مع تعليمات مغلقة تُفتح فقط عند إثبات الوفاة أو العجز.

الإنفاق اليومي يحدث عبر الموقّع 1 إلى جانب الموقّع 2 — الحامل يسافر إلى الشارقة كل بضعة أشهر للتوقيع المشترك على معاملات صادرة مُجمَّعة. في حال اختراق الموقّع 1 يومًا (سرقة حاسوب، برمجية فدية، إكراه على الإفصاح عن كلمة المرور)، فإن السارق لا يستطيع تحريك الأموال دون الوصول أيضًا إلى خزنة الشارقة أو محامي الرياض. وفي حال وفاة الحامل، فإن محامي الرياض يحوز مفتاحًا، والعائلة في الشارقة تحوز آخر، وبتعاونهما يستطيعان استرداد الأموال دون الحاجة إلى العثور على كلمة مرور الحامل. مفتاح العرض (View key) الخاص بـ multisig يُشارَك مع المحامي بصيغة للقراءة فقط حتى يستطيع التحقّق من الرصيد دون قدرة على الإنفاق.

حين يحتاج هذا الحامل إلى تغذية محفظة multisig — مثلًا، بعد وصول دفعة عمل حر إلى محفظة بتوقيع فردي — يستخدم MoneroSwapper لتحويل مدفوعاته الواردة بعملات بديلة مباشرةً إلى عنوان multisig. لا KYC، ولا حساب، ولا احتفاظ بسجلات يتجاوز إتمام عملية المبادلة. الوجهة هي عنوان فرعي (Subaddress) جديد مشتقّ من العنوان الأساسي المشترك لـ multisig، مما يحفظ الخصوصية عند طرف الاستقبال مع تغذية الخزينة المشتركة ذاتها. تمويل multisig من خلال مبادلة ذرية (atomic swap) أو منصة بلا حساب يُعدّ من أنظف الطرق للحفاظ على عدم القابلية للربط عبر المنظومة بكاملها.

أسئلة شائعة

هل يمكنني استرداد محفظة Monero multisig من بذرة الـ 25 كلمة؟

لا. البذرة المؤلفة من 25 كلمة التي تظهر عند إنشاء كل محفظة موقّع تستعيد فقط حالة ذلك الموقّع قبل multisig. مفاتيح multisig الفعلية مخزّنة في ملف .keys الذي يُنشأ بعد اكتمال جولات التبادل. يجب أن تحفظ نسخة احتياطية من ذلك الملف من M على الأقل من أصل N موقّعين. إن كانت لديك البذور فقط دون ملفات .keys، فالمحفظة غير قابلة للاسترداد.

كم تستغرق مراسم الإعداد عمليًا؟

بالنسبة لنمط 2-of-3، توقَّع من 20 إلى 40 دقيقة إذا كان جميع المشاركين على مكالمة فيديو مشتركة. الإعدادات الفردية التي تتحكم فيها بالموقّعين الثلاثة جميعًا وتنقل البيانات بشريحة USB تستغرق عادةً وقتًا أطول — قُرابة الساعة مع خطوات التحقق والمعاملة الاختبارية. أعطِ نفسك وقتًا إضافيًا في المرة الأولى؛ المرة الثانية أسرع بكثير لأنك ستفهم المعنى الفعلي لمخرجات كل جولة.

هل تدعم محافظ الأجهزة مثل Trezor وLedger خاصية Monero multisig؟

اعتبارًا من أوائل 2026، لا يزال دعم محافظ الأجهزة لـ multisig في Monero محدودًا. كلٌّ من Ledger وTrezor يدعم محافظ Monero ذات التوقيع الفردي القياسية، لكن لا أحد منهما يتكامل بسلاسة مع مراسم multisig حتى اليوم. المجتمع يعمل بنشاط على هذا الجانب — راجع النقاشات حول تدفقات multisig المُختبَرة على شبكة stagenet في مستودع Monero GUI الرسمي — لكن النهج الأكثر موثوقية حاليًا هو استخدام monero-wallet-cli مع تشفير قرص كامل قوي على كل آلة موقّع، بدلًا من توقّع multisig مدعومة بالأجهزة.

ماذا يحدث إذا فقد أحد الموقّعين التزامن؟

هذا أكثر مشكلة تشغيلية شيوعًا. بعد كل معاملة، يجب على كل موقّع تشغيل export_multisig_info ومشاركة الملف الناتج مع باقي الموقّعين، الذين يُشغّلون بدورهم import_multisig_info. إذا تجاوز موقّع هذه الخطوة، فسيرى أرصدة قديمة وقد يبني معاملات تفشل عند الإرسال. الحل هو إعادة دورة التصدير/الاستيراد من أي موقّع متزامن. ملف سجل المحفظة (--log-level 1) يجعل هذا الأمر مرئيًا بوضوح إذا فحصته.

هل يمكنني استخدام multisig مع العناوين الفرعية (Subaddresses)؟

نعم. بمجرد اكتمال إعداد محفظة multisig، يمكنك توليد حسابات وعناوين فرعية تمامًا كما تفعل في محفظة بتوقيع فردي باستخدام address new. كل Subaddress هو عنوان شبحي مشتقّ من العنوان الأساسي المشترك لـ multisig، فالأموال الواردة على أيّ منها قابلة للإنفاق بنفس حدّ M-of-N. هذا مفيد فعلًا للخزائن التي ترغب في عنوان استلام جديد لكل متبرّع أو لكل فاتورة.

هل multisig مبالغ فيها لأقل من 1 XMR؟

يعتمد ذلك على ما يمثّله لك ذلك الـ 1 XMR. إن كان مالًا ترفيهيًا، فالتوقيع الفردي مع بذرة محفوظة على فولاذ كافٍ. أما إن كان مدخرات للأيام السوداء وتشعر بالغضب من خسارتها، فإن الوقت المُستثمَر في إعداد 2-of-3 multisig يُجزي نفسه أول مرة تُضيّع فيها نسخة احتياطية أو يُسرَق فيها حاسوبك. عتبة الدولار ليست السؤال الصحيح؛ السؤال الصحيح هو: "هل ستؤلمني خسارة هذا؟".

خاتمة

تمثّل Monero multisig إحدى أعلى الترقيات تأثيرًا في مجال الخصوصية والأمان التي يمكن لأي حامل إجراؤها، والمراسم في متناول أي شخص قضى ساعتين مع واجهة CLI. الإعداد الذي يجب أن يلجأ إليه الجميع تقريبًا كافتراضي هو 2-of-3 موزّع على مواقع مستقلة فعلًا، مع خطة استرداد موثّقة ومعاملة اختبارية واحدة على الأقل قبل وصول الأموال الحقيقية. عندما تكون مستعدًا لتغذية عنوان multisig الجديد، يجعل MoneroSwapper جانب التدفق الوارد سهلًا: حوّل أي أصل وارد إلى XMR دون حساب، وأرسل مباشرةً إلى عنوانك الأساسي في multisig أو إلى Subaddress حديث التوليد، وحافظ على خصائص الخصوصية للإعداد بأكمله من المبادلة وحتى التخزين. أعدّ المحفظة هذا الأسبوع، وستنام بشكل أفضل في الأسبوع التالي.