Sicurezza
Costruito perché una violazione non possa firmare una transazione.
La maggior parte delle perdite crypto inizia con una chiave privata nel posto sbagliato. L’abbiamo rimossa del tutto dall’applicazione, aggiungendo cifratura, monitoraggio e revisione umana.
Derivazione di indirizzi senza potere di firma
La tesoreria conserva solo chiavi pubbliche estese (zpub/xpub). Una violazione del database non muove fondi.
Sweep multifirma
I depositi passano in cold storage con un quorum 3-di-5 su hardware in tre giurisdizioni.
Dati di pagamento cifrati
Email, IBAN e intestatari sono cifrati con AES-256-GCM prima di raggiungere il database.
Monitoraggio continuo della chain
Interroghiamo mempool.space, TronGrid e RPC EVM pubblici per ogni ordine aperto.
Forense di sessione e dispositivo
Ogni accesso registra IP, tipo di dispositivo, browser e orario; le anomalie impongono una nuova autenticazione.
Risposta agli incidenti
Reperibilità 24/7, conferma in 15 minuti, notifica al regolatore in 72 ore e post-mortem pubblico.
Registro dei controlli
I meccanismi concreti dietro ogni affermazione, rivisti ogni trimestre e riassunti nel Centro fiducia.
| Livello | Controllo |
|---|---|
| Archiviazione password | bcrypt, fattore di costo 10+, salt per utente |
| Token di sessione | 256 bit casuali, salvati solo come hash SHA-256, httpOnly |
| Trasporto | TLS 1.3, HSTS, referrer policy rigorosa, frame-ancestors limitato |
| Dati di pagamento | Cifratura a envelope AES-256-GCM, chiave fuori dal database |
| Chiavi di tesoreria | Solo xpub/zpub, il seed non viene mai salvato |
| Screening sanzioni | Ogni controparte, su ogni ordine, prima del rilascio |
Hai trovato una vulnerabilità?
Gestiamo un programma di disclosure retribuito con triage in 24 ore.