Corrección: para las multisig, la regla ideal "segura" es que cada firmante debe cambiar su clave después de cada operación. (Esto supone implícitamente que ECDSA podría volverse débil, pero no hasta el punto de que cualquier vulnerabilidad de la misma fuera literalmente instantánea, por lo que no tendrías que preocuparte, por ejemplo, por frontrunning en el mempool). Aún así, definitivamente deseas recopilar las firmas fuera de cadena si es posible, para minimizar la cantidad de horas entre "firma revelada" y "clave ya no activa". Pero nuevamente: es muy fácil perder fondos debido a una actualización apresurada mal configurada, así que... no apresures nada.