" Как следует из нынешней истории, подпись на стороне провайдера осуществлялась автоматически, без какой-либо проверки. Все транзакции были подписаны BitGo, подтвердил представитель биржи"
Какой смысл в ключе на стороне провайдера, если провайдер автоматически подписывает все приходящие транзакции.
2 ключа из 3 находятся на бирже. 3-й у BitGo.
Биржа подписывает одним ключом (горячим), отправляет в BitGo, та автоматически подписывает.
То есть, холодный ключ не имеет никакого значения.
Это то же самое, если бы адрес был одноключевой, и этот ключ принадлежал бирже.
Это же как надо извратить смысл мультиподписи, чтобы так организовать работу.
Только для того, чтобы гордо утверждать, что мы для защиты используем мультиподпись.