三个人签字才能转走一幅画：Squads 多签金库托管 NFT 的流程与权限

一幅高价 NFT 放在单人持有的钱包里，私钥泄露即归零；放进团队共管的账户里，又常变成一人说了算。Solana 上的 Squads 走的是第三条路：把多签做成链上金库，任何转出都要先提案、达到人数阈值才允许执行。按其开发者文档，把这条流程走完需要理解三组概念。

第一组是多签账户本身。文档里的创建指令 multisigCreateV2 要求同时提供创建者与一个随机派生密钥作为签名方，创建出的多签账户记录成员名单、确认阈值与可选的时间锁。成员的权限是分档的：有人拿满提案、投票、执行三项权限，也有人只被赋予投票权——文档示例里特意演示了第二席只给 Vote 权限的配置。阈值则决定一笔交易要凑齐几票才算通过，两人两票、三需二票都是常见搭法，创建后还能再通过一笔多签交易去修改。

第二组是金库交易的生命周期。官方文档把流程拆成发起、确认、执行三步：任何成员先构造一条普通 Solana 交易消息，比如一笔把代币或 NFT 从金库转出的指令，再把它包成金库交易提案挂到链上；其余成员在自己的交易列表里投确认票或反对票；达到阈值后，提案进入可执行状态，由成员执行落地。也就是说，从有人起念到账本生效，中间隔着至少两道人为闸门，任何一道有人提出异议，资产都不会动。

第三组是权限与防错。多签账户自身可以设置配置管理权与时间锁：前者决定谁能改配置，后者给敏感操作加延迟。团队托管高价 NFT 时，值得逐条核对：成员名单里是否混着已离职同事的旧地址；阈值是否低到一人即可凑齐；金库执行 NFT 转账前，接收地址是不是在提案文本里可查、可复核；如果交易要在前端市场里签订单，多签怎么通过合约签名机制代替单人签名完成订单，需要提前在对应市场验证支持情况。

安全习惯上，几条经验值得抄进清单：把 NFT 转入多签前先小额试转一笔，确认多签地址在浏览器与市场侧显示正常；每次提案都把接收地址、合约地址原文贴进备注，让投票的人肉眼核对而不是盲签；阈值、成员变更这类 Ownship 类交易本身也走多签，避免任何人留后门。执行动作会产生网络费用，按当前文档口径每票约花费一点 SOL 手续费，团队高频审批时把这笔成本算进预算。多签防的是单点失误，不防集体合谋与钓鱼页面，规则文档与地址白名单仍然要人工把关。本文只提供防御性操作建议，不构成任何投资建议。

最后补一组边界认知。多签的全部价值来自单把钥匙开不了门，但它的安全边界恰好也在这里：阈值与名单是软的，人改得动——所以成员离职时的移除交易、密钥轮换与地址登记纪律，比任何链上参数都更能决定长期安全；提案与执行之间的时间锁适合给大额转出装冷却，但紧急止损场景会被它拖慢，需要提前演练应急预案；金库签名与个人签名在协议层同权，投票的人必须意识到确认票等于同意转账本身，而不是我认识发起人在场就行。团队托管高价 NFT 出事案例的共同点，往往不是程序漏洞，而是名单失控与盲签文化。把这三句话写进团队的托管守则，比抄十份参数模板有用得多。