ORGON — Институциональное мульти-подписное хранение криптоактивов

ASYSTEM

ORGON · симулятор архитектуры

Все узлы и связи — реальные компоненты кода. Кликни на любой блок чтобы увидеть детали.На главную

01Клиенты

внешние системы и пользователи

02Auth-периметр

JWT · HMAC · RLS контекст

03Бизнес-логика

Policy · AML · подписи · аудит

04Safina + блокчейн

EC-подпись и доставка on-chain

Сценарий

🇰🇿

Биржа KZ

криптообменник в Алматы, USDT-TRC20, $50K запрос от VIP-клиента

Стандартный happy-path: оператор биржи инициирует вывод клиенту, проходит AML, собирает 2-из-3 подписей, Safina подписывает on-chain транзакцию, аудит-журнал фиксирует каждый шаг.

01step
Оператор биржи открывает дашборд ORGON и нажимает «Новая транзакция» — указывает кошелёк, адрес получателя, сумму $50 000 USDT.
02step
POST /api/transactions с Bearer JWT идёт через middleware. Проверяется срок жизни токена и роль оператора.
POST /api/transactions
```
Authorization: Bearer eyJhbGc...
{"wallet":"hot-trx-1","to_addr":"TX...c4Z","amount":"50000","token":"USDT"}
```
03step
RLS-middleware ставит app.current_organization_id в Postgres-сессии — все последующие SQL-запросы автоматически фильтруются по тенанту биржи.
RLS context
```
SELECT set_config('app.current_organization_id', '7f3...', true);
SELECT set_config('app.is_super_admin', 'false', true);
```
04step
Запрос попадает в Policy Engine. В превью-режиме правила валидируются, но не enforce'ятся. На прод-этапе тут проверится whitelist получателей и thresholds.
05step
AML-проверка адреса получателя. Прогон через OFAC, UN, EU sanctions lists.
AML check
```
addr: TX9k...c4Z
  OFAC: clean ✓
  UN: clean ✓
  EU: clean ✓
  risk_score: 12/100 (low)
```
06ok
Адрес чистый. AML возвращает зелёный свет, транзакция создаётся в статусе pending.
07step
Создаётся signature-request. Пороговая схема кошелька — 2-of-3, поэтому транзакция ждёт минимум двух подписей.
08step
INSERT в transactions со статусом pending. UNIQUE INDEX (tx_unid, signer, action) на signature_history гарантирует, что один и тот же подписант не сможет подписать дважды.
SQL
```
INSERT INTO transactions (unid, wallet_name, to_addr, value, status)
VALUES ('TX_W3K', 'hot-trx-1', 'TX...c4Z', '50000', 'pending');
```
09step
Параллельно — запись в audit_log. Триггер на DB-уровне делает её append-only: невозможно удалить или изменить даже из psql.
10step
Подписантам №2 и №3 уходит уведомление в Telegram через TelegramNotifier — у них в личном чате появляется кнопка «подписать / отклонить».
11ok
Первый подписант (compliance-офицер) одобрил. signature_history пополняется. Статус: 1/2.
12ok
Второй подписант (CTO) одобрил. Порог достигнут. Транзакция переходит в статус signed.
13step
ORGON делегирует криптографическую подпись Safina. EC-ключ живёт в SignerBackend — сейчас EnvSignerBackend, в проде переключаем на KMSSignerBackend (Wave 12).
14step
Safina формирует и подписывает on-chain транзакцию. ORGON получает tx_hash и сохраняет.
Safina API
```
POST /ece/send_transaction
  → tx_hash: 0x9f4a...e21c
```
15ok
TRC-20 транзакция уходит в Tron testnet. Через 19 секунд первый block-confirmation.
16ok
Параллельно ORGON шлёт webhook в систему биржи: статус confirmed, tx_hash, фактическая комиссия. Запрос подписан HMAC по партнёрскому secret.
17ok
Партнёрский endpoint биржи отвечает 200 OK. webhook_events.status = delivered.
18ok
Дашборд оператора в реальном времени обновляется через WebSocket: транзакция confirmed, баланс кошелька пересчитан. Конец флоу.