Sicherheit
Melde eine Schwachstelle
Wie du uns ein Sicherheitsproblem bei Antimatter meldest, worum wir dich bei der Suche bitten und wie Konten und Geld heute geschützt sind.
Ein Problem melden
Schreib, was du gefunden hast, wie es sich nachstellen lässt und was es jemandem erlaubt. Schick den kleinsten Nachweis, der es zeigt.
Sicherheitskontakt
Ein Sicherheitskontakt kommt noch. Bis der Betreiber einen festlegt, nennen diese Seite und security.txt keinen, statt einen zu erfinden.
Ein Belohnungsprogramm gibt es hier nicht.
Während du suchst
- Teste nur mit deinem eigenen Konto, deinen eigenen Schlüsseln und deinem eigenen Geld.
- Lies, ändere oder lösche niemals die Daten anderer. Hör auf und sag uns Bescheid, sobald du auf welche stößt.
- Guthaben und Einzahlungen sind echtes Geld. Beweise eine Lücke darin mit dem kleinsten Betrag, behalte nichts, was sie dir bringt, und sag, was du genommen hast, damit es zurückgebucht werden kann.
- Kein Denial of Service, kein Fluten, kein Spam und kein Social Engineering gegen Menschen oder den Betreiber.
- Gib dem Betreiber Zeit, ein Problem zu beheben, bevor du öffentlich darüber sprichst.
Was dazugehört
Die Website, die API unter /v1, der gehostete MCP-Server unter /mcp und der Code, der sie bereitstellt.
Nicht dazu gehören: die Dienste, auf die Antimatter angewiesen ist (Modellanbieter, Privy, Wallets, Chains), ein Gerät oder Browser, der bereits kompromittiert ist, und ein fehlender Header oder eine fehlende Einstellung, mit der niemand etwas anstellen kann.
Wie Konten und Geld geschützt sind
Jede Zeile ist eine Regel, die der Code heute durchsetzt.
- Anmelden ist eine Signatur deiner Wallet über eine Nachricht, die nur einmal gilt. Es gibt kein Passwort, das man stehlen könnte.
- Eine Sitzung dauert 30 Tage, verlängert sich, solange du sie nutzt, und lässt sich von jedem anderen Gerät aus im Dashboard beenden.
- Ein Konto löschen, einen Schlüssel erstellen oder erweitern, der Geld oder Agenten verwaltet, und jede Handlung des Betreibers brauchen eine frische Signatur der Wallet, gültig für 5 Minuten.
- API-Schlüssel werden nur als SHA-256-Digest gespeichert und einmal angezeigt, beim Erstellen.
- Anbieterschlüssel, die du speicherst, sind im Ruhezustand verschlüsselt und werden nie wieder angezeigt.
- Jede Änderung mit deinem Anmelde-Cookie muss von den eigenen Seiten dieser Website kommen.
- Seiten laufen unter einer Content Security Policy, die nur Skripte mit der eigenen, frischen Nonce der Seite ausführt.
- Handlungen an Konten und des Betreibers werden in ein Audit-Log geschrieben, an das nur angehängt wird.
- Nutzung und Kontobuch werden jeden Tag versiegelt, sodass sich ein Beleg prüfen lässt, ohne uns zu vertrauen.