Seguridad
Diseñado para que una brecha no pueda firmar una transacción.
Casi todas las pérdidas cripto empiezan con una clave privada en el lugar equivocado. La eliminamos de la aplicación y añadimos cifrado, monitorización y revisión humana.
Derivación de direcciones sin poder de firma
La tesorería solo guarda claves públicas extendidas (zpub/xpub). Una brecha en la base de datos no mueve fondos.
Barrido multifirma
Los depósitos pasan a almacenamiento en frío con un quórum 3-de-5 en hardware de tres jurisdicciones.
Datos de pago cifrados
Emails, IBAN y titulares se cifran con AES-256-GCM antes de llegar a la base de datos.
Monitorización continua
Consultamos mempool.space, TronGrid y RPC EVM públicos para cada orden abierta.
Forense de sesión y dispositivo
Cada inicio de sesión registra IP, tipo de dispositivo, navegador y hora; lo anómalo fuerza reautenticación.
Respuesta a incidentes
Guardia 24/7, acuse en 15 minutos, aviso al regulador en 72 horas y post-mortem público.
Registro de controles
Los mecanismos concretos detrás de cada afirmación. Se revisa cada trimestre y se resume en el Centro de confianza.
| Capa | Control |
|---|---|
| Almacenamiento de contraseñas | bcrypt, factor de coste 10+, sal por usuario |
| Tokens de sesión | 256 bits aleatorios, solo hash SHA-256, httpOnly |
| Transporte | TLS 1.3, HSTS, política de referrer estricta, frame-ancestors restringido |
| Datos de pago | Cifrado de sobre AES-256-GCM, clave fuera de la base de datos |
| Claves de tesorería | Solo xpub/zpub; el servicio nunca guarda la semilla |
| Cribado de sanciones | Cada contraparte, en cada orden, antes de liberar |
¿Has encontrado una vulnerabilidad?
Tenemos un programa de divulgación remunerado con triaje en 24 horas.