Como protegemos sua chave privada

O ciclo de vida completo de uma chave privada na HaoKey — geração segura, criptografia AES-256-GCM, verificação de permissões na blockchain antes da venda, entrega única com exclusão e verificação no navegador.

Um endereço vanity é tão seguro quanto a forma como sua chave foi criada e tratada. Veja exatamente o que acontece com uma chave da geração à entrega — e o que você pode fazer para que ela seja totalmente sua.

1. Geração

• As chaves são geradas offline na nossa fazenda de GPUs, não no servidor web.
• Cada busca parte de uma chave obtida de um gerador aleatório criptograficamente seguro com os 256 bits completos de entropia. Nunca derivamos chaves de sementes curtas — a falha por trás do incidente do Profanity em 2022 (detalhes).

2. Armazenamento até a venda

• Quando uma chave chega, o servidor recalcula o endereço a partir da chave e confere com a máscara. Divergências são rejeitadas.
• A chave é criptografada com AES-256-GCM. O endereço fica vinculado ao texto cifrado como dado autenticado, então uma chave criptografada não pode ser transferida para outro endereço.
• A chave de criptografia fica separada do banco de dados, como segredo da nossa plataforma de hospedagem.

3. Verificação antes da venda

Antes de entregar um endereço, consultamos a rede TRON: se as permissões owner ou active da conta já foram alteradas, a chave é tratada como comprometida, o endereço sai da venda e você recebe outro.

4. Entrega única

• Depois que o pagamento é confirmado na blockchain, a página do pedido permite revelar a chave uma única vez.
• Revelar e apagar acontecem em uma única operação no banco de dados: a chave criptografada é excluída no momento em que é exibida. Uma segunda tentativa retorna "já entregue".
• As páginas de pedido nunca ficam em cache e são excluídas dos buscadores.

5. Verificação no seu navegador

Seu navegador deriva o endereço TRON a partir da chave entregue e confirma que coincide antes de você salvá-la. Você também pode importar a chave na TronLink e comparar os 34 caracteres — veja como importar uma chave.

Torne a conta totalmente sua

Um vendedor sempre vê a chave antes da venda. Para saldos altos recomendamos eliminar essa confiança por completo: transfira a permissão de proprietário da conta para uma chave que você já controla (ou para uma multisig). Depois disso, a chave original — com quem quer que esteja uma cópia — não consegue mais movimentar fundos. Passo a passo: um endereço vanity é seguro?

O que nunca fazemos

• Nunca pedimos sua frase-semente nem qualquer outra chave privada.
• Nunca enviamos chaves por e-mail ou chat. O suporte nunca vai pedir para você "verificar" uma chave.
• Nunca vendemos endereços parecidos que imitam a carteira de outra pessoa.

Relatar uma vulnerabilidade

Encontrou um problema de segurança? Fale conosco pelo Telegram (botão de suporte) — o contato também está publicado em /.well-known/security.txt. Dê-nos um prazo razoável para corrigir antes de divulgar.