不持有你錢包的金鑰：Burokku 保管什麼、拒絕什麼，以及付出的代價

Burokku 看得到你持有的一切，這也讓它成為攻擊目標。所以我們打造的大部分東西，都是由一個問題決定的：如果真的有人闖了進來，他能拿你的錢做什麼？

答案是：越少越好。Burokku 不保管你任何錢包的私鑰，不儲存能提領的交易所金鑰，也絕不只憑一個已登入的工作階段就替你行動。以下說明我們怎麼做，以及要付出什麼代價。

觀察不需要金鑰

新增錢包只要貼上它的位址或 ENS 名稱，涵蓋包括 Solana 和 Bitcoin 在內的 60+ 條鏈；Hyperliquid、Lighter 和 Aster 帳戶也用同樣的方式讀取。這就足以讀取餘額、倉位和歷史紀錄。被觀察的位址不會簽署任何東西，所以那裡沒有東西可以被拿走。

要從其中一個錢包操作，你得連接它，並親自簽署每一筆交易；硬體錢包則在裝置上簽名。

我們唯一保管的一種金鑰

交易所沒有位址可以觀察，所以要讀取交易所，就需要 API 金鑰。這是 Burokku 唯一儲存的機密，而且有規則：

• 連接時必須是唯讀的。 在儲存任何東西之前，Burokku 會先向交易所確認這把金鑰能做什麼，能交易或提領的金鑰一律拒絕。這份指南示範如何在 Binance 上建立正確的金鑰。
• 封存在你的帳戶裡。 金鑰在我們的伺服器上加密，存放在只屬於你帳戶的空間中。任何瀏覽器，不管是我們的還是你的，都只會看到它的最後四個字元。
• 每天重新檢查。 唯讀金鑰之後如果取得了交易或提領權限，就會被刪除，你也會收到一封電子郵件。

要在 Burokku 上透過 10+ 家交易所中的一家交易，你要改為連接一把交易金鑰。它可以交易，但不能提領或轉帳，而且必須鎖定在 Burokku 發出呼叫的那一個固定 IP 位址，所以複本在其他任何地方都沒有用。取得提領權限或失去 IP 鎖定的交易金鑰，同樣會被刪除。交易說明了每筆訂單如何定價和檢查。

光有工作階段永遠不夠

登入只能證明當時是你，不能證明現在還是你。所以任何讓 Burokku 替你行動的操作，都需要用你的通行金鑰（或驗證器應用程式）重新驗證一次：開啟自動化、連接用於交易的金鑰、提高限額、設定定期定額、設定一筆在你不在時執行的交易。每次驗證只對那一個操作有效，已啟用的規則一旦被編輯，就會等你再次確認。

降低風險的操作從不需要驗證：暫停自動化、降低限額、平倉。如果你覺得有人拿到了你的工作階段，鎖定帳戶就會暫停自動化，並登出所有工作階段。每一次安全性變更和任何動用資金的操作，都會寫進你的稽核紀錄；安全機制如何運作會逐一說明。

交易錢包：屬於你，Burokku 只是權限受限的簽署者

在你不在時進行交易的自動化，例如定期定額，或在借款被清算前先替你還款的保護機制，需要某個不必等你就能簽名的東西。我們不希望那是一把由我們保管的金鑰。所以 Burokku 會設定交易錢包，EVM 鏈一個、Solana 一個，由你的其中一把通行金鑰擁有。

• 你的通行金鑰是擁有者。 只有它能變更規則、移除 Burokku、匯出私鑰或提領。這些請求由你的瀏覽器簽名；我們的伺服器只負責轉送。
• Burokku 只簽署規則允許的操作： 兌換所得回到這個錢包的同鏈兌換；以及在借款保護中，為你列出的錢包還款或追加抵押品，而每個錢包都必須先簽署一則訊息，證明它屬於你。其他任何操作，包括把資金轉到另一個位址，都會被拒絕。保管這個錢包的服務會在每次簽名前檢查規則，而且由於規則屬於你的通行金鑰，我們無法從自己這一端放寬它們。

規則無法阻止被盜的 Burokku 簽署者在錢包自己的代幣之間進行價格很差的兌換。所以這個錢包只放你轉進去的資金，而且 Burokku 自己的檢查會先執行：你的單筆和每日限額，以及報價不能比市價低太多。自動化說明了每次執行如何受到限制。

永續合約 DEX 的金鑰留在你的瀏覽器

對於 Hyperliquid、Aster 和 Lighter，我們走了相反的路。當你開啟交易時，Burokku 會在你的瀏覽器中產生一把新金鑰，由你的錢包在該平台上核准一次。這把金鑰絕不會傳到我們的伺服器，而且這些金鑰都無法把你的資金轉到另一個位址。金鑰是加密保存的，但頁面上的腳本仍可能使用它，所以 Hyperliquid 和 Aster 的金鑰會在 30 天後過期，交易可以一鍵關閉，每筆訂單也都會對照和交易所相同的價格規則檢查。

這樣做的代價

有些代價落在你身上：

• 被觀察的錢包無法操作。 Burokku 可以警告你某筆借款快被清算了，但要從那個錢包處理，就得你自己簽名。你不在的時候，Burokku 只會從你存入資金的交易錢包，或透過交易所交易金鑰行動。
• 交易金鑰仍是我們保管的金鑰。 我們的伺服器會解開它來下單。IP 鎖定、禁止提領的規則和我們的檢查限制了它能做的事，但無法讓風險歸零。
• 永續合約 DEX 的訂單來自你的瀏覽器。 那裡還沒有自動化：一把我們伺服器能使用的金鑰，代表的是另一種程度的信任。停損觸發時，Burokku 看得到倉位已經平倉，但無法分辨是停利、停損還是清算造成的。每個瀏覽器都要核准自己的金鑰，而且智慧錢包無法核准。
• 交易錢包能做的比你自己的錢包少： 只能在幾條鏈上進行同鏈兌換，不能跨鏈，有些工具也無法使用它。任何新用途都需要你的通行金鑰核准新規則。
• 更多確認提示， 而且在你變更第二步驟驗證後，24 小時內無法開啟自動化。

我們認為這個取捨是對的：一個讀得到你所有資金的工具，不應該成為拿走它們的捷徑。