Cómo protegemos tu clave privada
El ciclo de vida completo de una clave privada en HaoKey — generación segura, cifrado AES-256-GCM, comprobación de permisos en la cadena antes de la venta, entrega única con borrado y verificación en el navegador.
Una dirección vanity es tan segura como la forma en que se creó y se manejó su clave. Esto es exactamente lo que le ocurre a una clave desde la generación hasta la entrega, y lo que puedes hacer para que sea completamente tuya.
1. Generación
- Las claves se generan sin conexión en nuestra granja de GPU, no en el servidor web.
- Cada búsqueda parte de una clave obtenida de un generador aleatorio criptográficamente seguro con los 256 bits completos de entropía. Nunca derivamos claves de semillas cortas, el fallo detrás del incidente de Profanity de 2022 (detalles).
2. Almacenamiento hasta la venta
- Cuando llega una clave, el servidor recalcula la dirección a partir de la clave y la compara con la máscara. Las discrepancias se rechazan.
- La clave se cifra con AES-256-GCM. La dirección queda ligada al texto cifrado como dato autenticado, así que una clave cifrada no puede trasladarse a otra dirección.
- La clave de cifrado se guarda aparte de la base de datos, como secreto de nuestra plataforma de alojamiento.
3. Comprobación antes de la venta
Antes de entregar una dirección, consultamos la red TRON: si los permisos owner o active de la cuenta se modificaron alguna vez, la clave se considera comprometida, la dirección se retira de la venta y recibes otra.
4. Entrega única
- Una vez confirmado el pago en la cadena, la página del pedido te permite revelar la clave una sola vez.
- Revelar y borrar ocurren en una sola operación de base de datos: la clave cifrada se elimina en el momento en que se muestra. Un segundo intento devuelve "ya entregada".
- Las páginas de pedido nunca se almacenan en caché y están excluidas de los buscadores.
5. Verificación en tu navegador
Tu navegador deriva la dirección TRON a partir de la clave entregada y confirma que coincide antes de que la guardes. También puedes importar la clave en TronLink y comparar los 34 caracteres: consulta cómo importar una clave.
Haz que la cuenta sea totalmente tuya
Un vendedor siempre ve la clave antes de la venta. Para saldos grandes recomendamos eliminar esa confianza por completo: transfiere el permiso de propietario de la cuenta a una clave que ya controles (o a una multifirma). Después, la clave original —la tenga quien la tenga— ya no podrá mover fondos. Paso a paso: ¿es segura una dirección vanity?
Lo que nunca hacemos
- Nunca pedimos tu frase semilla ni ninguna otra clave privada.
- Nunca enviamos claves por correo ni por chat. El soporte nunca te pedirá "verificar" una clave.
- Nunca vendemos direcciones parecidas que imiten la billetera de otra persona.
Informar de una vulnerabilidad
¿Encontraste un problema de seguridad? Escríbenos por Telegram (botón de soporte); el contacto también está publicado en /.well-known/security.txt. Danos un plazo razonable para corregirlo antes de hacerlo público.