Bảo mật tại Antimatter

Báo cáo vấn đề

Hãy viết bạn đã tìm thấy gì, cách tái hiện và nó cho phép ai đó làm gì. Gửi bằng chứng nhỏ nhất cho thấy điều đó.

Liên hệ bảo mật

Liên hệ bảo mật sắp có. Cho đến khi nhà vận hành đặt một liên hệ, trang này và security.txt không nêu liên hệ nào thay vì bịa ra.

Ở đây không có chương trình thưởng.

Khi bạn tìm hiểu

Chỉ thử nghiệm với tài khoản, khóa và tiền của chính bạn.
Không bao giờ đọc, sửa hay xóa dữ liệu của người khác. Hãy dừng lại và báo cho chúng tôi ngay khi bạn chạm tới dữ liệu đó.
Tín dụng và tiền nạp là tiền thật. Hãy chứng minh lỗi ở đó bằng số tiền nhỏ nhất, không giữ lại thứ gì nó mang lại, và cho biết bạn đã lấy gì để có thể hoàn lại.
Không tấn công từ chối dịch vụ, không làm ngập lưu lượng, không spam và không dùng kỹ thuật xã hội nhắm vào con người hay nhà vận hành.
Hãy cho nhà vận hành thời gian sửa lỗi trước khi bạn nói công khai về nó.

Phạm vi

Trang web, API tại /v1, máy chủ MCP được lưu trữ tại /mcp và mã phục vụ chúng.

Ngoài phạm vi: các dịch vụ mà Antimatter dựa vào (nhà cung cấp mô hình, Privy, ví, chuỗi khối), thiết bị hoặc trình duyệt đã bị xâm nhập, và một header hay thiết lập bị thiếu nhưng không cho ai làm được gì.

Tài khoản và tiền được bảo vệ thế nào

Mỗi dòng là một quy tắc mà mã nguồn đang thực thi.

Đăng nhập là một chữ ký từ ví của bạn trên một thông điệp chỉ dùng một lần. Không có mật khẩu nào để đánh cắp.
Một phiên kéo dài 30 ngày, được gia hạn khi bạn dùng và có thể được kết thúc từ bất kỳ thiết bị nào khác trên bảng điều khiển.
Xóa tài khoản, tạo hoặc mở rộng một khóa quản lý tiền hay tác tử, và mọi thao tác của nhà vận hành đều cần một chữ ký mới từ ví, có hiệu lực trong 5 phút.
Khóa API chỉ được lưu dưới dạng bản băm SHA-256 và hiển thị một lần, khi được tạo.
Khóa nhà cung cấp mà bạn lưu được mã hóa khi lưu trữ và không bao giờ hiển thị lại.
Mọi thay đổi thực hiện bằng cookie đăng nhập của bạn phải đến từ chính các trang của trang web này.
Các trang chạy theo một chính sách bảo mật nội dung chỉ chạy những script mang nonce mới của chính trang đó.
Thao tác trên tài khoản và của nhà vận hành được ghi vào một nhật ký kiểm toán chỉ có thể thêm vào.
Mức sử dụng và sổ cái được niêm phong mỗi ngày, nên một biên lai có thể được kiểm tra mà không cần tin chúng tôi.