Nenhuma chave das suas carteiras: o que o Burokku guarda, o que recusa e o que isso custa

O Burokku vê tudo o que você tem, e isso faz dele um alvo. Por isso, uma pergunta moldou quase tudo o que construímos: se alguém conseguisse entrar, o que poderia fazer com o seu dinheiro?

O mínimo que conseguimos. O Burokku não guarda nenhuma chave privada de nenhuma carteira sua, não armazena uma chave de corretora que possa sacar e nunca age por você só com base em uma sessão iniciada. Veja como, e o que isso custa.

Acompanhar não exige chaves

Você adiciona uma carteira colando o endereço ou o nome ENS, em mais de 60 redes, incluindo Solana e Bitcoin; contas da Hyperliquid, da Lighter e da Aster são lidas do mesmo jeito. Isso basta para ler saldos, posições e histórico. Nada assina a partir de um endereço acompanhado, então não há nada ali para levar.

Para agir a partir de um, você o conecta e assina cada transação você mesmo; uma carteira de hardware assina no próprio dispositivo.

O único tipo de chave que guardamos

Corretoras não têm um endereço para acompanhar, então ler uma exige uma chave de API. É o único segredo que o Burokku armazena, e com regras:

• Somente leitura para conectar. Antes de salvar qualquer coisa, o Burokku pergunta à corretora o que a chave pode fazer e recusa uma que possa negociar ou sacar. Este guia mostra como criar a chave certa na Binance.
• Lacrada na sua conta. Ela é criptografada nos nossos servidores, em um espaço que pertence só à sua conta. Um navegador, nosso ou seu, só chega a ver os quatro últimos caracteres dela.
• Conferida de novo todo dia. Uma chave somente leitura que depois ganha o direito de negociar ou sacar é excluída, e você recebe um e-mail.

Para negociar em uma de mais de 10 corretoras pelo Burokku, você conecta uma chave de negociação. Ela pode negociar, mas não pode sacar nem transferir, e precisa estar restrita ao único endereço IP fixo de onde saem as chamadas do Burokku, então uma cópia não serve em nenhum outro lugar. Uma que ganhe permissão de saque ou perca a restrição também é excluída. Negociação explica como cada ordem é precificada e conferida.

Uma sessão nunca basta

Entrar na conta prova que era você naquele momento, não que ainda é você agora. Por isso, tudo o que deixa o Burokku agir por você pede uma nova verificação com a sua chave de acesso (ou o seu app autenticador): ativar as automações, conectar uma chave para negociar, aumentar um limite, configurar uma compra recorrente, armar uma negociação para rodar enquanto você está fora. Cada verificação vale só para aquela ação, e uma regra armada que for editada espera até você confirmá-la de novo.

Reduzir o risco nunca pede nada: pausar as automações, diminuir um limite, fechar uma posição. Se você achar que alguém está com a sua sessão, bloquear a conta pausa as automações e encerra todas as sessões. Toda mudança de segurança e tudo o que move dinheiro vai para o seu registro de auditoria; como funciona a segurança explica cada um desses pontos.

Carteiras de negociação: suas, com o Burokku como signatário limitado

Automações que negociam enquanto você está fora, como uma compra recorrente ou uma proteção que quita um empréstimo antes da liquidação, precisam de algo que assine sem você. Não queríamos que isso fosse uma chave guardada por nós. Então o Burokku cria uma carteira de negociação, uma para redes EVM e uma para Solana, controlada por uma das suas chaves de acesso.

• A sua chave de acesso é a dona. Só ela pode mudar as regras, remover o Burokku, exportar a chave ou sacar. O seu navegador assina esses pedidos; nossos servidores só os repassam.
• O Burokku assina só o que as regras permitem: trocas na mesma rede pagas de volta para a carteira e, no caso de uma proteção de empréstimo, quitar ou adicionar garantia para as carteiras que você listou, e cada uma delas antes assina uma mensagem que prova que é sua. Todo o resto, inclusive enviar fundos para outro endereço, é recusado. O serviço que mantém a carteira confere as regras antes de cada assinatura e, como elas pertencem à sua chave de acesso, não conseguimos afrouxá-las do nosso lado.

As regras não impedem que alguém com um signatário do Burokku roubado faça trocas a preços ruins entre os próprios tokens da carteira. Por isso a carteira guarda só o que você move para ela, e as verificações do próprio Burokku vêm antes: seus limites por negociação e por dia, e uma cotação que não pode ficar muito abaixo do mercado. Automações mostra como as execuções são limitadas.

Chaves de DEX de perpétuos ficam no seu navegador

Na Hyperliquid, na Aster e na Lighter, fizemos o contrário. Quando você ativa a negociação, o Burokku cria uma nova chave no seu navegador e a sua carteira a aprova uma vez na plataforma. A chave nunca chega aos nossos servidores, e nenhuma dessas chaves pode enviar seus fundos para outro endereço. Ela fica guardada criptografada, mas um script na página ainda poderia usá-la; por isso as chaves da Hyperliquid e da Aster expiram depois de 30 dias, a negociação é desativada com um toque e toda ordem é conferida com as mesmas regras de preço de uma corretora.

O que isso custa

Parte disso fica com você:

• Carteiras acompanhadas não podem agir. O Burokku pode avisar que um empréstimo está perto da liquidação; resolver a partir dessa carteira significa assinar você mesmo. Enquanto você está fora, o Burokku só age a partir de uma carteira de negociação que você abasteceu ou com uma chave de negociação de corretora.
• Uma chave de negociação continua sendo uma chave que guardamos. Nosso servidor a abre para enviar ordens. A restrição de IP, a regra de não sacar e nossas verificações limitam o que ela pode fazer; não zeram o risco.
• Ordens em DEXes de perpétuos saem do seu navegador. Ainda não há automações ali: uma chave que nosso servidor pudesse usar é outro tipo de confiança. Quando um stop dispara, o Burokku vê a posição fechar, mas não sabe dizer se foi um take-profit, um stop-loss ou uma liquidação. Cada navegador aprova a própria chave, e carteiras inteligentes não conseguem aprovar uma.
• Carteiras de negociação fazem menos do que as suas próprias carteiras: trocas na mesma rede, em poucas redes, sem ponte, e algumas ferramentas não podem usá-las. Qualquer coisa nova precisa que a sua chave de acesso aprove novas regras.
• Mais confirmações, e depois de qualquer mudança nas suas segundas etapas, as automações não podem ser ativadas por 24 horas.

Achamos que essa é a troca certa: uma ferramenta que lê todo o seu dinheiro não deveria ser um jeito fácil de levá-lo.