В FTX отсутствовала система безопасности, а переводы подтверждались эмодзи в Slack: новый отчёт о работе криптобиржи

Первый вариант. Можно даже на листочке хранить кодовую фразу.

Холодное хранилище - это машинка, где лан заклеен. :) Ну или комплекс машинок со своим ланом, куда, кроме них, никого не подключают. А перенос инфы осуществляется на носителях.

Это как с корневыми сертификатами - они хранятся на отдельных машинах вне сети, чтобы доступ к этим данным был у крайне узкого числа людей.

Чтобы совершать выплаты пользователям, всегда нужно использовать приватный ключ для подписи транзакций. Именно его и удаётся вытащить и памяти/скрипта/.env, если машина скомпрометирована.

Приватный ключ холодного хранилища может не знать ни один сотрудник биржи. Есть адрес кошелька этого приватного ключа - туда всё будет поступать и храниться, а если нужно снять - то через "главного" или мультиподпись например 3-х из 5-и людей из совета директоров/высокопоставленных лиц.