O que fica no seu celular e o que nunca sai dele
- As palavras de recuperação e as chaves privadas são criadas no aparelho e ficam guardadas no cofre do sistema (Keychain no iPhone, Keystore no Android), cifradas.
- Para abrir a carteira e confirmar envios, o app pede biometria ou PIN.
- As transações são assinadas no aparelho. Só a transação já assinada vai para a rede.
- Os servidores da Kripto Pay nunca recebem suas chaves nem guardam seu saldo. Eles servem para coisas como cotações e avisos.
Padrões abertos
A carteira segue os padrões usados pelas principais carteiras do mercado (BIP39 para as palavras de recuperação e BIP44 para as contas). Isso quer dizer que você não fica preso à Kripto Pay: com as suas palavras, dá para abrir a mesma carteira em outro aplicativo compatível.
Antes de lançar
- Código da carteira aberto para qualquer pessoa conferir.
- Auditoria de segurança independente, com o relatório publicado.
- Período de teste fechado (beta) com valores pequenos.
O que nunca vamos fazer
- Pedir suas palavras de recuperação ou chave privada, por nenhum canal.
- Guardar seu saldo ou mover suas moedas.
- Prometer rendimento ou indicar investimento.
- Pedir que você instale outro aplicativo ou acesse um site para “validar” a carteira.
Encontrou uma falha?
Se você encontrar uma vulnerabilidade, avise pela página de contato, com o assunto “Segurança”, antes de divulgar. Vamos responder e dar o crédito a quem reportar.