Bảo mật

CentraFIN được thiết kế để ngay cả khi máy chủ của chúng tôi bị rò rỉ dữ liệu, cũng không ai có thể động đến tiền của bạn hay biết được các ví riêng tư của bạn.

Máy chủ của chúng tôi thấy gì

Khóa chỉ đọc

• CentraFIN không đặt lệnh, không chuyển bất cứ thứ gì và không rút bất cứ thứ gì.
• Coinbase và OKX: mỗi khóa mới đều được kiểm tra với nền tảng; khóa có quyền giao dịch, chuyển tiền hoặc rút tiền sẽ bị từ chối.
• Kraken: nền tảng này không cho phép kiểm tra như vậy. Cửa sổ thêm khóa liệt kê đúng những quyền cần đánh dấu.
• Hyperliquid: không cần khóa; tài khoản được đọc qua địa chỉ công khai, và địa chỉ của ví API sẽ bị từ chối.
• Interactive Brokers: một token báo cáo Flex, chỉ cho phép truy cập các bản sao kê.
• Các phần bí mật được mã hóa bằng một khóa chỉ dịch vụ nắm giữ, gắn với loại khóa tương ứng, và không bao giờ rời khỏi máy chủ của chúng tôi.

Một địa chỉ IP cố định cho khóa của bạn

Mọi yêu cầu gửi tới Kraken, Coinbase, OKX và Hyperliquid đều đi từ một địa chỉ duy nhất, địa chỉ của máy chủ chuyển tiếp của chúng tôi: 130.110.240.91. Ngay trên nền tảng, bạn có thể giới hạn khóa API của mình chỉ dùng được từ địa chỉ này: khi đó, khóa bị đánh cắp sẽ vô dụng ở bất kỳ nơi nào khác.

Máy chủ chuyển tiếp, đặt tại Pháp, chỉ chấp nhận các yêu cầu do CentraFIN ký, chỉ gọi tới các nền tảng này, và không lưu giữ gì. Phản hồi của các nền tảng đi qua đó, nhưng máy chủ này không bao giờ thấy một phần bí mật nào.

Ví riêng tư mà chúng tôi không thể đọc

• Ví được thêm bằng khóa công khai của tài khoản ví (xpub, ypub, zpub), không bao giờ bằng khóa riêng tư.
• Trình duyệt của bạn mã hóa các ví (AES-256-GCM) bằng một khóa được bảo vệ bởi khóa truy cập của bạn (phần mở rộng WebAuthn PRF). Máy chủ của chúng tôi chỉ lưu dữ liệu đã mã hóa mà chúng không thể mở.
• Trình duyệt của bạn tự đọc số dư từ các nút Bitcoin công khai (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), được mã hóa đầu cuối, qua một máy chủ chuyển tiếp không đọc được nội dung. Các nút này thấy những địa chỉ được truy vấn, nhưng không thấy địa chỉ IP hay tài khoản của bạn. Mỗi địa chỉ luôn được đọc bởi cùng một nút: không nút nào thấy tất cả.

Đăng nhập không cần mật khẩu

• Địa chỉ email của bạn, được xác nhận khi tạo tài khoản, nhận một liên kết đăng nhập mỗi khi bạn yêu cầu. Liên kết có hiệu lực 15 phút, chỉ dùng được một lần, và được mở bằng một nút bấm: phần mềm quét email của bạn không dùng nó thay bạn.
• Bạn có thể thêm khóa truy cập (WebAuthn, bắt buộc xác minh người dùng), ứng dụng xác thực (mã 6 chữ số), hoặc cả hai. Với ứng dụng, mã được yêu cầu sau liên kết; nếu chỉ có khóa truy cập, khóa truy cập được yêu cầu sau liên kết. Chỉ riêng hộp thư của bạn không mở được tài khoản được bảo vệ như vậy.
• Khóa truy cập cũng giúp bạn đăng nhập không cần email, kèm theo mã nếu bạn có ứng dụng.
• Một địa chỉ email nhận tối đa một liên kết mỗi phút và năm liên kết mỗi giờ, và một địa chỉ IP yêu cầu tối đa mười liên kết mỗi giờ.
• Sau 5 lần nhập sai mã liên tiếp, tài khoản phải chờ 15 phút, rồi gấp đôi thời gian ở mỗi đợt tiếp theo, tối đa một ngày. Một địa chỉ IP bị chặn sau 5 lần thất bại trong 15 phút.
• Một phiên kéo dài 8 giờ.
• Tài khoản của bạn chỉ mở được bằng các phương thức đăng nhập của bạn: không ai, kể cả CentraFIN, có thể vào mà không có chúng. Hãy bảo vệ hộp thư email của bạn, và giữ hai khóa truy cập nếu bạn dùng chúng.

Trợ lý AI (MCP)

• Một trợ lý chỉ truy cập được tài khoản của bạn nếu bạn cho phép (OAuth 2.1 với PKCE), chỉ ở chế độ đọc, và không bao giờ truy cập ví riêng tư của bạn.
• Token truy cập của trợ lý có hiệu lực 1 giờ; token làm mới có hiệu lực 30 ngày và chỉ dùng được một lần.
• Bạn có thể thu hồi quyền của một trợ lý bất cứ lúc nào trong phần cài đặt.

Bản thân trang web

• Không có script của bên thứ ba, không quảng cáo, không công cụ đo lường lượng truy cập.
• Chính sách bảo mật nội dung nghiêm ngặt, và chỉ dùng kết nối HTTPS.

Báo cáo lỗ hổng

Hãy gửi email tới contact@centrafin.xyz với tiêu đề "Bảo mật": bạn đã tìm thấy gì, cách tái hiện, và bạn đã thấy được những gì. Đừng truy cập dữ liệu của người khác, đừng làm ảnh hưởng đến dịch vụ, và hãy cho chúng tôi thời gian khắc phục trước khi công bố. Các quy tắc này cũng có trong tệp security.txt của chúng tôi.