Безопасность
Мы физически не можем
потратить ваши деньги
Это не обещание в договоре, а устройство сервиса. Ключ, которым можно торговать или выводить средства, MyCoins просто не примет — подключение отклоняется на входе. Ниже — что именно мы делаем, чтобы ваши данные не утекли, и чего не стоит делать вам.
на чтение
зашифрованы
к средствам
одна кнопка
Как устроена защита
Ключ с торговлей мы не примем
При добавлении мы спрашиваем у самой биржи, что этот ключ умеет. Есть право торговли или вывода — подключение отклоняется. Не «просим создать read-only», а проверяем.
Ключи лежат зашифрованными
Ключ шифрования хранится в настройках сервера и в базу не попадает никогда. Копия базы без него не раскрывает ни одного ключа биржи — там нечитаемые строки.
Ключ не показывается целиком
Ни в кабинете, ни в журналах сервера полного ключа нет — только «abcd…wxyz». Расшифровать его может одна часть кода: та, что ходит на биржу за сделками.
Пароль не хранится
В базе лежит отпечаток пароля, посчитанный bcrypt. Из него нельзя получить исходный — ни постороннему, ни нам. Забытый пароль поэтому не «напоминают», а меняют.
Перебор пароля упирается в паузу
Пять неудачных попыток подряд — и вход по этой почте закрывается на пятнадцать минут. Подобрать пароль перебором на такой скорости невозможно.
Свой сервер, а не чужое облако
Сайт, база и боты работают на нашей машине. Наружу открыты три порта, вход на сервер только по ключу — пароль отключён. Соединение с сайтом идёт по HTTPS.
Путь ключа
Что происходит,
когда вы подключаете биржу
Самый частый страх звучит так: «я отдам ключ, а дальше не знаю, что с ним будет». Вот что с ним будет — по шагам.
- Отключить биржу можно в любой момент, кнопкой в разделе «Биржи»
- Собранные сделки после отключения остаются — историю вы не теряете
- Ключ можно отозвать и на стороне биржи; мы это переживём спокойно
- Не хотите ключей вовсе — загрузите выгрузку сделок файлом
Пять шагов от вставки ключа до графика
- Вы создаёте на бирже ключ только на чтение и вставляете его в кабинет.
- Мы спрашиваем у биржи, какие права у ключа. Если он умеет торговать или выводить — отказываем и не сохраняем.
- Ключ шифруется и уходит в базу. Ключ шифрования лежит отдельно, в настройках сервера.
- Синхронизация забирает сделки, пополнения и остатки. Расшифровка происходит в памяти и наружу не выходит.
- В кабинете вы видите обрезанный ключ и время последней синхронизации. Полного ключа не видит никто, включая нас.
Чего делать не нужно
Большинство потерь в крипте случаются не из-за взлома сервиса, а из-за того, что человека убедили отдать доступ самому. Прочитайте этот раздел, даже если MyCoins вам не нужен.
Не давайте ключу лишних прав
Создавая ключ на бирже, снимите галочки «торговля» и «вывод». Нам они не нужны, а если такой ключ утечёт где-то ещё — деньгами распорядятся без вас.
Мы такой ключ и не примем — но у других сервисов проверки может не быть.
Не показывайте ключ на скриншотах
Ключ и секрет — это пароль от чтения вашего счёта. Не пересылайте их в переписке, не выкладывайте снимки экрана кабинета биржи и не диктуйте голосом.
Секрет биржа показывает один раз. Если он куда-то попал — отзовите ключ и создайте новый.
Никогда не отдавайте seed-фразу
Двенадцать или двадцать четыре слова от кошелька — это сам кошелёк. Ни MyCoins, ни биржа, ни поддержка никогда их не спросят.
Любой, кто просит seed-фразу, — вор. Без исключений.
Проверяйте адрес сайта и имя бота
Наш сайт — mycoins.pro, канал — @mycoins_pro, бот кабинета — @mycoins_user_bot. Всё остальное, как бы похоже оно ни выглядело, к нам отношения не имеет.
Переходите по ссылкам с сайта, а не из поиска и не из чужих сообщений.
Не повторяйте пароль от биржи
Пароль от MyCoins должен отличаться от пароля от биржи и от почты. Тогда утечка в одном месте не открывает всё остальное.
На самой бирже включите двухфакторный вход — это защита, которую не заменит ни один сервис.
Не верьте обещаниям доходности
MyCoins считает то, что уже случилось, и не обещает будущего. Кто-то пишет вам от нашего имени про «гарантированный доход» или «управление вашим счётом» — это не мы.
Мы не принимаем деньги в управление и не даём торговых сигналов.
Коротко цифрами
Проверить первое проще, чем кажется: зайдите в настройки ключей на своей бирже и посмотрите права выданного ключа. Там будет только чтение — другой мы бы не приняли.
Нашли слабое место — напишите
Сообщение о дыре в защите для нас ценнее похвалы. Пишите в канал @mycoins_pro — разберёмся и починим, а вас поблагодарим публично, если захотите.
Описанное на этой странице — то, как сервис устроен сегодня. Меняется устройство — меняется и страница; дату правки видно в истории проекта. Не является инвестиционной рекомендацией.