不碰你的钱包密钥：Burokku 保存什么、拒绝什么，以及代价是什么

Burokku 能看到你持有的一切，这让它成了攻击目标。所以我们做的大部分东西，都是围绕一个问题设计的：如果真有人闯了进来，他们能拿你的钱做什么？

我们尽量让答案是：几乎什么都做不了。Burokku 不保存你任何钱包的私钥，不保存能提现的交易所密钥，也从不只凭一个已登录的会话就替你操作。下面说说我们怎么做到的，以及代价是什么。

观察不需要密钥

添加钱包时，你只需粘贴它的地址或 ENS 名称，覆盖包括 Solana 和 Bitcoin 在内的 60+ 条链；Hyperliquid、Lighter 和 Aster 账户也用同样的方式读取。这足以读取余额、仓位和历史记录。观察的地址不会签任何东西，所以那里没有可以被拿走的东西。

要用这个钱包操作，你需要连接它，并亲自签署每一笔交易；硬件钱包则在设备上签名。

我们唯一保存的一种密钥

交易所没有可以观察的地址，所以读取交易所账户需要一个 API 密钥。这是 Burokku 保存的唯一一种机密信息，而且有规则约束：

• 连接时必须只读。 保存任何内容之前，Burokku 会先向交易所查询这个密钥能做什么，能交易或提现的密钥会被拒绝。这篇指南介绍了如何在 Binance 上创建合适的密钥。
• 封存在你的账户里。 它在我们的服务器上加密存放，所在的空间只属于你的账户。任何浏览器，无论是我们的还是你的，都只能看到它的最后四个字符。
• 每天重新检查。 只读密钥如果之后获得了交易或提现权限，就会被删除，你也会收到一封邮件。

如果要在 Burokku 中于 10+ 家交易所之一进行交易，你需要改为连接一个交易密钥。它可以交易，但不能提现或划转，而且必须绑定 Burokku 发出请求所用的那个固定 IP 地址，这样即使被复制，在其他任何地方也用不了。获得提现权限或失去 IP 绑定的交易密钥同样会被删除。交易介绍了每笔订单如何定价和检查。

只有会话永远不够

登录只能证明当时是你，不能证明现在还是你。所以，任何让 Burokku 替你操作的事情，都需要用你的通行密钥（或身份验证器应用）重新验证一次：开启自动化、连接用于交易的密钥、提高限额、设置定投、启用一笔在你不在时执行的交易。每次验证只对那一个操作有效；已启用的规则一旦被修改，就要等你再次确认。

降低风险的操作从不需要验证：暂停自动化、降低限额、平仓。如果你怀疑有人拿到了你的会话，锁定账户会暂停自动化，并让所有会话退出登录。每一次安全变更和任何动用资金的操作都会写入你的审计日志；安全机制如何运作逐一介绍了这些内容。

交易钱包：属于你，Burokku 只是受限的签名方

在你不在时进行交易的自动化，比如定投，或在借款被清算前替你还款的保护，需要一个不用你在场也能签名的东西。我们不希望那是一把由我们持有的密钥。所以 Burokku 会为你设置交易钱包，EVM 链一个、Solana 一个，由你的一个通行密钥拥有。

• 你的通行密钥是所有者。 只有它能修改规则、移除 Burokku、导出私钥或提现。这些请求由你的浏览器签名；我们的服务器只负责转发。
• Burokku 只签规则允许的内容： 资金回到同一钱包的同链兑换；以及在清算保护中，为你列出的钱包还款或追加抵押品，而每个这样的钱包都要先签一条消息，证明它是你的。其他任何操作，包括把资金发送到另一个地址，都会被拒绝。保管钱包的服务在每次签名前都会检查规则，而规则归你的通行密钥所有，所以我们无法从自己这边放宽它们。

这些规则挡不住一个被盗的 Burokku 签名方在钱包自己的代币之间以很差的价格兑换。所以钱包里只有你转进去的资金，而且 Burokku 自己的检查会先执行：你的单笔和每日限额，以及不能比市场价低太多的报价。自动化介绍了运行是如何受限的。

永续合约 DEX 的密钥留在你的浏览器里

对于 Hyperliquid、Aster 和 Lighter，我们走了另一条路。你开启交易时，Burokku 会在你的浏览器里生成一把新密钥，由你的钱包在该平台上授权一次。这把密钥永远不会到达我们的服务器，而且这些密钥都不能把你的资金发送到另一个地址。它以加密形式保存，但页面上的脚本仍然可能使用它，所以 Hyperliquid 和 Aster 的密钥 30 天后失效，交易一键即可关闭，每笔订单也都要按与交易所相同的价格规则检查。

代价是什么

其中一些代价由你承担：

• 观察的钱包不能操作。 Burokku 可以提醒你某笔借款接近清算；要从那个钱包修复，你得自己签名。你不在的时候，Burokku 只会从你已存入资金的交易钱包，或用交易所交易密钥进行操作。
• 交易密钥仍然是一把由我们持有的密钥。 我们的服务器会打开它来下单。IP 绑定、禁止提现的规则和我们的检查限制了它能做的事；但它们不能让风险归零。
• 永续合约 DEX 的订单来自你的浏览器。 那里还没有自动化：一把我们的服务器能使用的密钥，意味着另一种程度的信任。止损触发时，Burokku 能看到仓位已平，但无法判断是止盈、止损还是强平导致的。每个浏览器都要授权自己的密钥，而智能钱包无法授权。
• 交易钱包能做的比你自己的钱包少： 只支持少数几条链上的同链兑换，不能跨链，有些工具也用不了它。任何新功能都需要你的通行密钥批准新的规则。
• 验证提示更多， 而且在你更改第二步验证后，24 小时内无法开启自动化。

我们认为这样的取舍是对的：一个能读取你全部资金的工具，不应该成为拿走这些资金的捷径。