秘密鍵をどう守っているか

HaoKey の秘密鍵のライフサイクル — 安全な生成、AES-256-GCM 暗号化、販売前のチェーン上での権限チェック、削除をともなう一度きりの受け渡し、ブラウザでの検証。

バニティアドレスの安全性は、その秘密鍵がどう作られ、どう扱われたかで決まります。生成から受け渡しまでに秘密鍵に起きること、そしてアカウントを完全にあなたのものにする方法を説明します。

1. 生成

• 秘密鍵は Web サーバーではなく、GPU ファームでオフライン生成します。
• すべての探索は、256 ビットの完全なエントロピーを持つ暗号学的に安全な乱数生成器から得た鍵で始まります。短いシードから鍵を導出することはありません。それが 2022 年の Profanity 事件の原因でした（詳細）。

2. 販売までの保管

• 秘密鍵を受け取ると、サーバーは鍵からアドレスを再計算してマスクと照合します。一致しないものは拒否します。
• 秘密鍵は AES-256-GCM で暗号化されます。アドレスは認証付きデータとして暗号文に結び付けられるため、暗号化された鍵を別のアドレスに付け替えることはできません。
• 暗号鍵はデータベースとは別に、ホスティング基盤のシークレットとして保管しています。

3. 販売前のチェック

アドレスをお渡しする前に TRON ネットワークを照会します。アカウントの owner または active 権限が一度でも変更されていれば、その鍵は漏えいしたものとみなしてアドレスを販売から外し、別のアドレスをお渡しします。

4. 一度きりの受け渡し

• 入金がチェーン上で確認されると、注文ページで秘密鍵を一度だけ表示できます。
• 表示と削除はひとつのデータベース処理で行われ、暗号化された鍵は表示した瞬間に消えます。二度目は「受け渡し済み」と表示されます。
• 注文ページはキャッシュされず、検索エンジンにも載りません。

5. ブラウザでの検証

お渡しした秘密鍵からブラウザが TRON アドレスを導出し、保存前に一致を確認します。TronLink にインポートして 34 文字すべてを比べることもできます。秘密鍵のインポート方法をご覧ください。

アカウントを完全にあなたのものに

販売者は販売前に必ず秘密鍵を目にします。高額を扱うなら、その信頼自体をなくすことをおすすめします。アカウントのオーナー権限を、すでに管理している鍵（またはマルチシグ）へ移してください。そうすれば、元の秘密鍵は誰がコピーを持っていても資金を動かせなくなります。手順：バニティアドレスは安全？

決してしないこと

• シードフレーズやほかの秘密鍵を求めることはありません。
• 秘密鍵をメールやチャットで送ることはありません。サポートが秘密鍵の「確認」を求めることもありません。
• 他人のウォレットに似せたアドレスは販売しません。

脆弱性の報告

セキュリティ上の問題を見つけたら Telegram（サポートボタン）でご連絡ください。連絡先は /.well-known/security.txt にも掲載しています。公開前に修正のための妥当な期間をいただけると助かります。