Segurança
Feito para que uma invasão não consiga assinar uma transação.
Quase todas as perdas cripto começam com uma chave privada no lugar errado. Removemos essa chave da aplicação e acrescentamos cifra, monitorização e revisão humana.
Derivação de endereços sem poder de assinatura
A tesouraria guarda apenas chaves públicas estendidas (zpub/xpub). Uma invasão à base de dados não move fundos.
Varredura multifirma
Os depósitos passam para armazenamento frio via quórum 3-de-5 em hardware de três jurisdições.
Dados de pagamento cifrados
E-mails, IBAN e titulares são cifrados com AES-256-GCM antes de chegarem à base de dados.
Monitorização contínua da rede
Consultamos mempool.space, TronGrid e RPC EVM públicos para cada ordem aberta.
Forense de sessão e dispositivo
Cada login registra IP, tipo de dispositivo, navegador e hora; anomalias exigem nova autenticação.
Resposta a incidentes
Plantão 24/7, confirmação em 15 minutos, aviso ao regulador em 72 horas e post-mortem público.
Registro de controlos
Os mecanismos concretos por trás de cada afirmação, revistos trimestralmente e resumidos no Centro de confiança.
| Camada | Controlo |
|---|---|
| Armazenamento de senhas | bcrypt, fator de custo 10+, salt por utilizador |
| Tokens de sessão | 256 bits aleatórios, apenas hash SHA-256, httpOnly |
| Transporte | TLS 1.3, HSTS, política de referrer estrita, frame-ancestors restrito |
| Dados de pagamento | Cifra de envelope AES-256-GCM, chave fora da base de dados |
| Chaves da tesouraria | Apenas xpub/zpub; a seed nunca é armazenada |
| Triagem de sanções | Cada contraparte, em cada ordem, antes da liberação |
Encontrou uma vulnerabilidade?
Temos um programa de divulgação remunerado com triagem em 24 horas.