Informa de una vulnerabilidad

Informar de un problema

Escribe qué encontraste, cómo reproducirlo y qué le permite hacer a alguien. Envía la prueba más pequeña que lo demuestre.

Aquí no hay un programa de recompensas.

Mientras investigas

• Prueba solo con tu propia cuenta, tus propias claves y tu propio dinero.
• Nunca leas, cambies ni borres los datos de otra persona. Detente y avísanos en cuanto llegues a alguno.
• El crédito y los depósitos son dinero real. Demuestra un fallo en ellos con la cantidad más pequeña, no te quedes con nada de lo que te dé y di qué tomaste para que pueda devolverse.
• Nada de denegación de servicio, inundaciones de tráfico, spam ni ingeniería social contra personas o contra el operador.
• Dale al operador tiempo para corregir un problema antes de hablar de él en público.

Qué abarca

El sitio, la API en /v1, el servidor MCP alojado en /mcp y el código que los sirve.

No abarca: los servicios de los que depende Antimatter (proveedores de modelos, Privy, billeteras, cadenas), un dispositivo o navegador ya comprometido, ni una cabecera o un ajuste que falta y que no le permite a nadie hacer nada.

Cómo se protegen las cuentas y el dinero

Cada línea es una regla que el código aplica hoy.

1. Iniciar sesión es una firma de tu billetera sobre un mensaje que se usa una sola vez. No hay contraseña que robar.
2. Una sesión dura 30 días, se renueva mientras la usas y puede cerrarse desde cualquier otro dispositivo en el panel.
3. Eliminar una cuenta, crear o ampliar una clave que gestiona dinero o agentes, y cada acción del operador necesitan una firma nueva de la billetera, válida durante 5 minutos.
4. Las claves de API se guardan solo como resumen SHA-256 y se muestran una vez, al crearlas.
5. Las claves de proveedor que guardas se cifran en reposo y nunca vuelven a mostrarse.
6. Todo cambio hecho con tu cookie de sesión debe venir de las propias páginas de este sitio.
7. Las páginas funcionan bajo una política de seguridad de contenido que solo ejecuta scripts con el nonce propio y nuevo de esa página.
8. Las acciones sobre cuentas y las del operador se escriben en un registro de auditoría al que solo se le añaden entradas.
9. El uso y el libro contable se sellan cada día, así que un recibo puede comprobarse sin confiar en nosotros.