业务配置
添加链
在生产环境中，系统默认仅激活部分常用公链。在开始使用前，请先在 Cobo Portal 中确认您业务所需的公链是否已激活。若您需要的公链尚未激活，需要手动将其添加到您的团队配置中。添加步骤如下：- 登录 Cobo Portal 生产环境。
- 点击左下角的个人资料图标，然后点击套餐。
- 导航至可用公链数并点击管理图标。
- 在管理页面，查看可用链列表。如果您需要的链不在列表中，点击添加公链为您的团队添加更多公链。
开通 Cobo KYT
Cobo KYT 是 Cobo 提供的 Know Your Transaction (KYT) 合规筛查服务，用于识别和防范可疑或高风险交易。- 全托管钱包：默认启用 Cobo KYT 服务，无需额外配置。
- MPC 钱包：您可以：
- 联系 Cobo 销售团队开通 Cobo KYT 服务
- 或通过 Screening App 自行对资金进行合规筛查，并处理未通过的交易。
安全配置
风控配置
Cobo Portal 提供多种风控机制，旨在提高存储、管理和转移加密货币时的安全性。用户角色和权限
用户角色由预定义的规则组成，可用于为团队内的指定成员分配特定权限。- 配置至少 2 名管理员，可以起到交叉验证、互为备份的作用。其他角色应根据实际需求妥善配置。
- 不建议给同一个成员分配多个角色。
交易风控规则
交易风控规则是您团队的重要安全保障之一，建议您严格配置交易风控规则，特别是在大额提币场景中。应特别注意链下交易风控中的转账风控规则，以避免高风险情况，例如：- 没有设置风控规则
- 存在未被交易风控规则覆盖的交易
- 所有交易自动通过
- 同一角色既可提币又可审批
业务风控规则
业务风控规则确定了批准或拒绝某项操作所依据的审批规则。 以下操作为 Cobo Portal 中的重要操作，建议您配置 2 位及以上管理员审批。- 邀请成员
- 更改成员的用户角色
- 编辑业务风控规则
- 管理交易风控规则
- 管理地址列表中的地址
- Cobo Portal Apps 授权
- 变更 Cobo Portal Apps 权限
- 变更 Cobo Portal Apps 审批流
- 管理 API Key
- 编辑自定义用户角色
管理员身份认证
为提升安全性并降低账户被盗风险，强烈建议所有管理员启用至少两种身份认证方式，其中 Cobo Guard 应作为其中之一。 推荐组合包括：- Cobo Guard 和 Google Authenticator (GA)
- Cobo Guard 和安全密钥
建议将 GA 安装在与 Cobo Guard 不同的设备上，以避免因单一设备丢失导致无法访问账户。
API Key 设置
在生产环境注册 API Key 时，需要注意：- 用户角色：根据业务需求，选择支付管理员或支付成员。 可以参考用户角色和权限了解不同角色的权限。
- 钱包范围：建议仅选择您实际需要访问的特定钱包类型，例如，如果您只使用全托管钱包，则仅选择全托管钱包。您可以在后续根据业务发展需要随时调整钱包范围，以确保 API 访问权限遵循最小权限原则。
- 密钥类型：选择长期（需要静态 IP 地址），并设置 IP 白名单。
Payments App 设置
安装 Payments App 时，钱包范围建议仅选择您实际需要访问的特定钱包类型，例如，如果您只使用全托管钱包，则仅选择全托管钱包。您可以在后续根据业务发展需要随时调整钱包范围，以确保 API 访问权限遵循最小权限原则。MPC 钱包相关配置
如果您使用的是 MPC 钱包，还需要创建 MPC Vault 并完成私钥分片的配置。要了解 Vault、私钥分片和其他相关概念，请参阅机构钱包介绍。
1. 创建主控组
一组私钥分片持有者被称为持有者组。主控组是您在使用 MPC 钱包之前创建的第一个持有者组。 下图展示了一个包含两个私钥分片持有者的主控组。Cobo 持有一个私钥分片，而您的团队持有另一个。
- 移动端签名人：使用 Cobo Guard 移动应用进行签名，适合小规模交易或需要人工审核的场景。
- 服务端签名人：通过 TSS Node 服务器自动签名，适合大规模自动化交易场景。
由于资金转出之前可能会发生大量资金归集交易且交易时间集中，所以推荐您使用服务端签名人，以实现自动化签名。使用服务端签名人需要提前部署 TSS Node 服务器。
- 登录 Cobo Portal 生产环境。
-
点击
> MPC 钱包。
- 点击创建 Vault。跟随界面的指引完成 Vault 创建。
-
创建 Vault 后，会自动弹出生成主控组私钥分片对话框。在对话框中，导航至私钥分片持有者 2 部分，并配置持有者。有关签名人类型及其设置的详细信息，请参阅签名人类型。
- 使用移动端签名人：从下拉列表中选择一个持有者。TSS Node ID 字段将自动填充。点击确认。
- 使用服务端签名人：输入持有者名称，填写 TSS Node ID，然后点击确认。
- 在您的 Cobo Guard 中确认您发起了此请求。
2. 生成私钥分片
创建主控组后，下一个关键步骤是生成私钥分片。此过程根据您的签名人类型而有所不同：-
对于移动端签名人：
- 等待 Cobo Guard 上出现 1 个私钥分片需要生成的弹出消息（这可能需要几秒钟）。
- 点击弹出消息打开私钥生成界面。
- 按照屏幕上的说明完成私钥分片生成过程。
- 我们建议您在此时备份您的私钥分片以增加安全性。但您也可以选择在完成本指南后再进行此步骤。
-
对于服务端签名人：
- 确保在 24 小时内将 TSS Node 服务器上线。当服务器上线时，私钥分片生成过程将自动启动。
- 如果配置了 TSS Node 回调服务器，则只有在回调服务器批准后才会开始生成过程。
3. 私钥分片备份和恢复
生成私钥分片后，您可以备份私钥分片文件，确保私钥分片的安全性和可恢复性。请妥善保管私钥分片备份的恢复口令和加密数据库密码。如果丢失，您需要使用恢复组来恢复私钥分片（如果已经设置了恢复组）。 更多详情，请参阅移动端签名人备份私钥分片说明和服务端签名人备份私钥分片说明。4. 其他持有者组相关配置
- 持有者组配置：除主控组外，您需要另外创建至少一个签名组和一个恢复组。强烈建议不要让同一私钥分片持有者同时属于不同类型的持有者组，例如，既属于主控组，又属于签名组。如果出现这种情况，请确保签名组不止一组。
- 签名人类型：由于结算之前可能会发生大量资金归集交易且交易时间集中，请确保在您的主控组或签名组中设置一个服务端签名人，以实现自动化签名。
- 风控配置：如果您选择使用 TSS Node 回调作为您服务端签名人的风控机制，则需要将您钱包的归集地址写入该回调服务器的白名单。写入后，服务端签名人会在进行资金转出或退款时自动签署来自归集地址的提币交易。详细的白名单配置方法请参考风控最佳实践-自动归集实现。您可以在钱包的地址 → 归集至标签页下查看某一钱包的归集地址。
