Как мы защищаем ваш приватный ключ
Полный путь приватного ключа в HaoKey — стойкая генерация, шифрование AES-256-GCM, проверка прав в блокчейне перед продажей, одноразовая выдача с удалением и проверка в браузере.
Красивый адрес настолько безопасен, насколько аккуратно создан и хранился его ключ. Вот что происходит с ключом от генерации до выдачи — и как сделать аккаунт полностью своим.
1. Генерация
- Ключи создаются офлайн на нашей GPU-ферме, а не на веб-сервере.
- Каждый поиск начинается с ключа из криптографически стойкого генератора с полными 256 битами энтропии. Мы никогда не выводим ключи из короткого зерна — именно эта ошибка привела к инциденту Profanity в 2022 году (подробнее).
2. Хранение до продажи
- Получив ключ, сервер заново вычисляет из него адрес и сверяет с маской. Несовпадения отклоняются.
- Ключ шифруется AES-256-GCM. Адрес привязан к шифротексту как аутентифицированные данные, поэтому зашифрованный ключ нельзя подставить к другому адресу.
- Ключ шифрования хранится отдельно от базы — как секрет хостинг-платформы.
3. Проверка перед продажей
Перед выдачей адреса покупателю мы запрашиваем сеть TRON: если права owner или active аккаунта когда-либо менялись, ключ считается скомпрометированным, адрес снимается с продажи, и вы получаете другой.
4. Одноразовая выдача
- После подтверждения платежа в блокчейне на странице заказа ключ можно открыть один раз.
- Показ и удаление — одна операция в базе: зашифрованный ключ стирается в момент выдачи. Повторная попытка вернёт «уже выдан».
- Страницы заказов не кэшируются и закрыты от поисковиков.
5. Проверка в браузере
Ваш браузер выводит адрес TRON из выданного ключа и подтверждает совпадение, прежде чем вы его сохраните. Можно также импортировать ключ в TronLink и сверить все 34 символа — см. как импортировать ключ.
Сделайте аккаунт полностью своим
Продавец всегда видит ключ до продажи. Для крупных сумм рекомендуем полностью убрать это доверие: переведите права владельца аккаунта на ключ, который уже контролируете (или на мультиподпись). После этого исходный ключ — у кого бы ни была копия — больше не сможет выводить средства. Пошагово: безопасен ли красивый адрес.
Чего мы никогда не делаем
- Не просим вашу сид-фразу или другие приватные ключи.
- Не отправляем ключи по почте или в чат. Поддержка никогда не попросит «подтвердить» ключ.
- Не продаём адреса-двойники, имитирующие чужие кошельки.
Сообщить об уязвимости
Нашли проблему безопасности? Напишите нам в Telegram (кнопка «Поддержка») — контакт также опубликован в /.well-known/security.txt. Пожалуйста, дайте нам разумное время на исправление до публикации.