Sicherheit
Gebaut, damit ein Einbruch keine Transaktion signieren kann.
Die meisten Krypto-Verluste beginnen mit einem privaten Schlüssel am falschen Ort. Wir entfernen ihn komplett aus der Anwendung und legen Verschlüsselung, Überwachung und menschliche Prüfung darüber.
Adressableitung ohne Signierrechte
Die Treasury speichert nur öffentliche erweiterte Schlüssel (zpub/xpub). Ein Datenbankeinbruch bewegt keine Gelder.
Multisig-Sweep
Einzahlungen wandern per 3-aus-5-Multisig auf Hardware in drei Jurisdiktionen in den Cold Storage.
Verschlüsselte Auszahlungsdaten
Auszahlungs-E-Mails, IBANs und Kontoinhaber werden mit AES-256-GCM verschlüsselt, bevor sie die Datenbank erreichen.
Laufende Chain-Überwachung
mempool.space, TronGrid und öffentliche EVM-RPCs werden für jede offene Order abgefragt.
Session- und Geräteforensik
Jede Anmeldung erfasst IP, Geräteklasse, Browser und Zeitstempel. Auffälligkeiten erzwingen eine Neuanmeldung.
Incident Response
24/7-Bereitschaft, Bestätigung in 15 Minuten, Meldung an Aufsichtsbehörden in 72 Stunden, öffentliche Analyse.
Kontrollregister
Die konkreten Mechanismen hinter jeder Aussage. Vierteljährlich geprüft und im Trust Center zusammengefasst.
| Ebene | Kontrolle |
|---|---|
| Passwortspeicherung | bcrypt, Kostenfaktor 10+, Salt pro Nutzer |
| Session-Token | 256 Bit zufällig, nur als SHA-256-Hash gespeichert, httpOnly |
| Transport | TLS 1.3, HSTS, strikte Referrer-Policy, frame-ancestors eingeschränkt |
| Auszahlungsdaten | AES-256-GCM-Envelope-Verschlüsselung, Schlüssel außerhalb der Datenbank |
| Treasury-Schlüssel | Nur xpub/zpub, Seed wird nie gespeichert |
| Sanktionsprüfung | Jeder Geschäftspartner, bei jeder Order, vor der Freigabe |
Eine Schwachstelle gefunden?
Wir betreiben ein bezahltes Disclosure-Programm mit Triage binnen 24 Stunden.