钱包架构Wallet Architecture

Mullet 的托管钱包遵循 "冷热分离 + 多签门限 + 链上可验证" 三大原则。本文从架构角度解释用户资金从入金到出金的完整流向，以及为什么我们认为这种设计在 CEX 与 DEX 之间找到了一个合理的平衡点。

整体架构

Mullet 的钱包系统由三层组成 — 热钱包层 (2%) · 温钱包层 (6%) · 冷钱包层 (92%)。绝大多数资金离线存储于冷钱包，仅保留少量热钱包资金应对日常出入金。

热钱包层

热钱包是唯一与 Mullet 后端实时连接的资金池，用于处理日常出入金与链下成交系统的保证金调度。

• 规模: 不超过总管理资产的 2%
• 调度: 自动化调度，单笔提现超过 $10 万触发人工审核
• 加密方案: 私钥以 AES-256 加密存储，密钥由 AWS KMS 托管，签名在 Intel SGX Enclave 可信执行环境中完成
• 监控: 任何超过 100K USDC 的出账触发 SOC 团队人工确认
• 异常熔断: 异常出账速率自动暂停热钱包，需人工解锁

温钱包层

温钱包是热钱包与冷钱包之间的缓冲。当热钱包余额低于阈值，温钱包定期补给热钱包。

• 规模: 6% AUM
• 多签: 2-of-3 阈值
• 时间锁: 任何动用温钱包资金的提案至少 24 小时延迟执行
• 独立签名集: 与热钱包多签者完全不同，避免共谋

冷钱包层

冷钱包是 Mullet 资金的最终保险库。92% 的用户资金存储在这里。

• 规模: 92% AUM
• 多签: 3-of-5 阈值 + 人工审核，签名者分散在三个时区
• 离线签名: 签名过程在物理离线的环境中完成 (air-gapped)
• 72h 时间锁: 提案到执行至少 72 小时，社区可在窗口期内监督
• 异地备份: 私钥分片 (Shamir's Secret Sharing) 存储于三个独立地理位置

用户资金隔离

Mullet 严格区分两类账户:

三类账户在链上完全分离，使用不同地址 + 不同多签结构。即使 Mullet 运营账户被攻破，用户资金也安然无恙。

自托管路径

如果你不希望让 Mullet 托管资金，可以随时切换为钱包连接模式:

1. 提取所有资金至 Phantom / Backpack 等自托管钱包
2. 退出邮箱账户，改用钱包连接登录
3. 所有交易资金从你的钱包直接发送到 Mullet 指定地址
4. 持仓的保证金始终归属于你的钱包地址