Sicherheit | CentraFIN

CentraFIN ist so gebaut, dass selbst ein Datenleck auf unseren Servern weder Zugriff auf dein Geld gäbe noch deine privaten Wallets preisgäbe.

Was unsere Server sehen

Daten	Unsere Server
Salden, Positionen, Orders und Historie deiner Plattformen	Sehen sie, um deine Zahlen anzuzeigen und zu berechnen
Secrets deiner API-Schlüssel	Speichern sie verschlüsselt (AES-256-GCM); geben sie nie heraus, zeigen sie nie an und protokollieren sie nie
Adresse deines Hyperliquid-Kontos	Sehen sie: Über sie wird das Konto gelesen
Öffentliche Schlüssel, Adressen, Namen und Guthaben deiner Bitcoin-Wallets	Sehen sie nie: Dein Browser verschlüsselt sie
Private Schlüssel und Wiederherstellungsphrasen	Erhalten sie nie: Der Dienst nimmt keine an
Passwörter	Der Dienst verwendet keine: stattdessen Passkeys und Einmalcodes

Schlüssel nur mit Leserechten

CentraFIN platziert keine Orders, überträgt nichts und zahlt nichts aus.
Coinbase und OKX: Jeder neue Schlüssel wird bei der Plattform geprüft; ein Schlüssel, der handeln, übertragen oder auszahlen kann, wird abgelehnt.
Kraken: Die Plattform erlaubt diese Prüfung nicht. Das Fenster zum Hinzufügen nennt die einzigen Berechtigungen, die du aktivieren sollst.
Hyperliquid: kein Schlüssel; das Konto wird über seine öffentliche Adresse gelesen, und die Adresse einer API-Wallet wird abgelehnt.
Interactive Brokers: ein Flex-Query-Token, das nur Zugriff auf Kontoauszüge gibt.
Die Secrets werden mit einem eigenen Schlüssel des Dienstes verschlüsselt, an ihren Schlüsseltyp gebunden und verlassen nie unsere Server.

Eine feste IP-Adresse für deine Schlüssel

Die Anfragen an Kraken, Coinbase, OKX und Hyperliquid gehen alle von einer einzigen Adresse aus, der unseres Relays: 130.110.240.91. Du kannst deine API-Schlüssel bei der Plattform auf diese Adresse beschränken: Ein gestohlener Schlüssel wäre dann anderswo nutzlos.

Das Relay wird in Frankreich gehostet, nimmt nur von CentraFIN signierte Anfragen an, ruft nur diese Plattformen auf und speichert nichts. Es sieht die Antworten der Plattformen durchlaufen, aber nie ein Secret.

Private Wallets, die wir nicht lesen können

Eine Wallet wird über den öffentlichen Schlüssel ihres Kontos (xpub, ypub, zpub) hinzugefügt, nie über einen privaten Schlüssel.
Dein Browser verschlüsselt deine Wallets (AES-256-GCM) mit einem Schlüssel, den dein Passkey schützt (Erweiterung WebAuthn PRF). Unsere Server speichern nur verschlüsselte Daten, die sie nicht öffnen können.
Dein Browser fragt die Guthaben selbst bei öffentlichen Bitcoin-Nodes ab (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), Ende-zu-Ende-verschlüsselt und über ein blindes Relay. Diese Nodes sehen die abgefragten Adressen, aber weder deine IP-Adresse noch dein Konto. Jede Adresse wird immer vom selben Node gelesen: Keiner sieht alle.

Anmeldung ohne Passwort

Deine E-Mail-Adresse, bestätigt bei der Kontoerstellung, erhält bei jeder Anfrage einen Anmeldelink. Er gilt 15 Minuten und nur einmal und öffnet sich über einen Button: Software, die deine E-Mails prüft, kann ihn nicht an deiner Stelle verwenden.
Du kannst einen Passkey (WebAuthn, Benutzerverifizierung erforderlich), eine Authenticator-App (6-stellige Codes) oder beides hinzufügen. Mit der App wird ihr Code nach dem Link abgefragt; mit einem Passkey allein wird der Passkey nach dem Link abgefragt. Dein Postfach allein öffnet ein so geschütztes Konto nicht.
Ein Passkey meldet dich auch ohne E-Mail an, gefolgt vom Code, wenn du die App nutzt.
Eine E-Mail-Adresse erhält höchstens einen Link pro Minute und fünf pro Stunde, und eine IP-Adresse kann höchstens zehn pro Stunde anfordern.
Nach 5 falschen Codes in Folge wartet das Konto 15 Minuten, danach bei jeder weiteren Serie doppelt so lange, höchstens einen Tag. Dieselbe IP-Adresse wird nach 5 Fehlversuchen innerhalb von 15 Minuten gesperrt.
Eine Sitzung dauert 8 Stunden.
Dein Konto lässt sich nur mit deinen Anmeldemethoden öffnen: Niemand, auch CentraFIN nicht, kommt ohne sie hinein. Schütze dein Postfach, und richte dir zwei Passkeys ein, wenn du Passkeys nutzt.

KI-Assistenten (MCP)

Ein Assistent greift nur auf dein Konto zu, wenn du es erlaubst (OAuth 2.1 mit PKCE), nur lesend und nie auf deine privaten Wallets.
Sein Zugriffstoken gilt 1 Stunde, sein Refresh-Token 30 Tage und lässt sich nur einmal verwenden.
In den Einstellungen kannst du einem Assistenten jederzeit den Zugriff entziehen.

Die Website selbst

Keine Skripte von Dritten, keine Werbung, keine Tools zur Reichweitenmessung.
Eine strenge Content Security Policy und ausschliesslich HTTPS-Verbindungen.

Eine Sicherheitslücke melden

Schreib an contact@centrafin.xyz mit «Sicherheit» im Betreff: was du gefunden hast, wie es sich reproduzieren lässt und was du sehen konntest. Greif nicht auf Daten anderer Personen zu, beeinträchtige den Dienst nicht und gib uns Zeit für die Behebung, bevor du etwas veröffentlichst. Diese Regeln stehen auch in unserer Datei security.txt.