ウォレットの鍵は預かりません：Burokku が保管するもの、拒否するもの、その代償

Burokku は保有資産のすべてを見ているので、狙われる対象になります。だからこそ、作るものの大半はひとつの問いから決まりました。もし誰かが侵入したら、その人は資金に対して何ができるのか。

答えは、できる限り少なく、です。Burokku はウォレットの秘密鍵を一切保管せず、出金できる取引所のキーは保存せず、ログイン中のセッションだけを根拠に代わりに操作することもありません。その仕組みと代償を説明します。

ウォッチに鍵は要りません

ウォレットは、アドレスか ENS 名を貼り付けるだけで追加できます。Solana と Bitcoin を含む60以上のチェーンに対応し、Hyperliquid、Lighter、Aster のアカウントも同じように読み取ります。残高、ポジション、履歴を読むにはそれで十分です。ウォッチしているアドレスから署名されることはないので、そこから奪えるものはありません。

そのアドレスから操作するには、ウォレットを接続し、取引のたびにご自身で署名します。ハードウェアウォレットならデバイス上で署名します。

保管する唯一の種類のキー

取引所にはウォッチできるアドレスがないため、読み取るには API キーが必要です。Burokku が保管する秘密情報はこれだけで、次のルールがあります。

• 接続できるのは読み取り専用のキーです。 Burokku は何かを保存する前に、そのキーで何ができるかを取引所に問い合わせ、取引や出金ができるキーは拒否します。Binance で適切なキーを作る方法はこちらのガイドで紹介しています。
• アカウント専用の領域に封じて保管します。 キーは、サーバー上のご自身のアカウントだけに属する領域で暗号化されます。ブラウザには、Burokku のものでもご自身のものでも、末尾の4文字しか表示されません。
• 毎日あらためて確認します。 読み取り専用だったキーにあとから取引や出金の権限が付いた場合は削除し、メールでお知らせします。

Burokku から10以上の取引所で取引するには、代わりに取引用のキーを接続します。取引はできても、出金や振替はできないキーでなければなりません。さらに、Burokku の通信の送信元である固定 IP アドレスひとつにロックされている必要があるため、コピーされてもほかの場所では使えません。出金できるようになったキーや、ロックが外れたキーも削除します。注文ごとの価格の決め方とチェックについては取引で説明しています。

セッションだけでは足りません

ログインで証明できるのは、そのときにご本人だったことであって、今もご本人であることではありません。そのため、Burokku が代わりに操作できるようになることには、その都度パスキー（または認証アプリ）での新たな確認が必要です。自動化をオンにする、取引用のキーを接続する、上限を引き上げる、積立購入を設定する、離れている間に実行する取引を有効にする、といった操作です。確認はそのひとつの操作に対してだけ有効で、有効にしたルールを編集すると、もう一度確認するまで待機します。

リスクを下げる操作では確認を求めません。自動化の一時停止、上限の引き下げ、ポジションの決済などです。セッションを誰かに使われていると思ったら、アカウントをロックしてください。自動化が一時停止し、すべてのセッションからログアウトします。セキュリティに関わる変更と資金を動かすものはすべて監査ログに残ります。それぞれの詳細はセキュリティの仕組みで説明しています。

トレーディングウォレット：所有するのはご自身、Burokku は限られた署名者

積立購入や、借入が清算される前に返済するガードのように、離れている間に取引する自動化には、ご自身がいなくても署名できるものが必要です。私たちはそれを、Burokku が保管する鍵にはしたくありませんでした。そこで Burokku は、ご自身のパスキーのひとつが所有するトレーディングウォレットを、EVM チェーン用と Solana 用にひとつずつ用意します。

• 所有者はパスキーです。 ルールの変更、Burokku の削除、鍵のエクスポート、出金ができるのはパスキーだけです。これらのリクエストにはブラウザが署名し、サーバーは中継するだけです。
• Burokku が署名するのは、ルールが許すものだけです。 同じチェーン上で、受け取ったものがウォレットに戻るスワップと、借入のガードでは、登録したウォレットの返済や担保の追加です。登録するウォレットは、それぞれ事前にご自身のものであることを証明するメッセージに署名します。ほかのアドレスへの送金を含め、それ以外はすべて拒否されます。ウォレットを管理するサービスが署名のたびにルールを確認し、ルールの所有者はパスキーなので、私たちの側から緩めることはできません。

ただしルールでは、盗まれた Burokku の署名者が、ウォレット内のトークン同士を不利な価格でスワップすることまでは防げません。そのためウォレットには移したものしか入らず、まず Burokku 自身のチェックが働きます。1回の取引と1日あたりの上限、そして市場価格を大きく下回ることのない見積もりです。実行がどう制限されるかは自動化で紹介しています。

無期限先物 DEX のキーはブラウザに残ります

Hyperliquid、Aster、Lighter では、逆の方法をとりました。取引をオンにすると、Burokku はブラウザ内で新しいキーを作り、ウォレットがそれを DEX 上で一度だけ承認します。このキーがサーバーに届くことはなく、これらのキーはどれも資金をほかのアドレスへ送れません。キーは暗号化して保管しますが、ページ上のスクリプトなら使えてしまう可能性があります。そのため Hyperliquid と Aster のキーは30日で失効し、取引はワンタップでオフにでき、どの注文も取引所での注文と同じ価格ルールでチェックされます。

その代償

一部はご自身が負うことになります。

• ウォッチしているウォレットからは操作できません。 借入が清算に近いと Burokku が警告しても、そのウォレットから対処するにはご自身で署名する必要があります。離れている間に Burokku が操作できるのは、資金を入れたトレーディングウォレットか、取引所の取引用キーからだけです。
• 取引用のキーも、私たちが保管するキーであることに変わりはありません。 注文を出すために、サーバーがキーを開きます。IP ロック、出金禁止のルール、私たちのチェックによってできることは限られますが、リスクがゼロになるわけではありません。
• 無期限先物 DEX の注文はブラウザから出ます。 そこではまだ自動化を使えません。サーバーが使えるキーには、別の種類の信頼が必要になるからです。ストップが発動すると、Burokku はポジションが決済されたことはわかりますが、それが利確、損切り、清算のどれによるものかはわかりません。ブラウザごとに専用のキーを承認する必要があり、スマートウォレットでは承認できません。
• トレーディングウォレットでできることは、ご自身のウォレットより少なくなります。 一部のチェーンでの同じチェーン内のスワップだけで、ブリッジはできず、使えないツールもあります。新しいことをするには、パスキーで新しいルールを承認する必要があります。
• 確認の回数が増えます。 また、2段階目の認証を変更したあとは、24時間は自動化をオンにできません。

これが正しいトレードオフだと考えています。すべての資金を読み取るツールが、それを簡単に奪える手段になってはいけないからです。