Segurança de chaves e transações
Gestão segura de chaves e assinatura de transações para empresas
A BitFashioned desenha e revê a forma como as empresas guardam chaves, assinam transações e as aprovam: setups MPC e multisig, gestão de chaves com HSM e as políticas e fluxos de aprovação em torno de cada assinatura. O objetivo é simples: nenhuma pessoa, dispositivo ou fornecedor consegue mover fundos sozinho, e cada transação pode ser explicada depois.
Para quem é
- Fundos, tesourarias e fintechs a entrar em ativos on-chain que precisam de um setup de assinatura que um auditor aceite
- Equipas que já usam um fornecedor de custódia ou MPC e querem uma revisão independente da configuração
- Protocolos e fundações que gerem chaves de tesouraria, de upgrade ou de bridges
Para quem não é
- Particulares à procura de uma recomendação de carteira pessoal
- Equipas que querem que lhes revendamos um fornecedor de custódia. Mantemo-nos neutros em relação a fornecedores.
O que fazemos na prática
Arquitetura de assinatura
Designs MPC, multisig e baseados em HSM escolhidos para o seu modelo de ameaças, cadeias e operações, incluindo cerimónias de geração de chaves e recuperação.
Políticas de transação e aprovações
Quóruns, limites de gastos, allowlists, time locks e separação de funções, aplicados no caminho de assinatura e não numa folha de cálculo.
Verificação de transações
O que os signatários veem de facto antes de aprovar: calldata descodificada, simulação e proteção contra blind signing e address poisoning.
Revisão de setup e preparação para incidentes
Revisão independente de um setup de custódia ou carteira existente, mais rotação de chaves, playbooks de comprometimento e verificação da cadeia de fornecimento do hardware de assinatura.
Provas
Trabalho público e verificável. Siga as ligações.
- Vulnerabilidade crítica no protocolo Avalanche, divulgada de forma responsável através do programa de bug bounty da HackenProof
- Ordem incorreta de taxas e gorjetas no módulo de pagamento de transações do Substrate na mainnet da Polkadot, divulgada através da xx labs foundation
- qVault: cofre open source com segurança quântica para carteiras EVM (Solidity)
- W-OTS(+) up my Sleeve! Secure Fallback for Wallets (IACR ePrint 2021/872)
- Ledger Hardware Implant Incident: What We Know So Far (blog)
- Rethinking Chain Abstraction for Safer Crypto UX Flows (blog)
- KelpDAO, LayerZero, and When RPC Trust Became Debt (blog)
Redes, instituições e empresas com quem já trabalhámos incluem a Ethereum Foundation, Polkadot, Avalanche, xx network, BIS, o Banco Interamericano de Desenvolvimento, o Estado do Wyoming, Cayman Enterprise City, Lamina1, Parfin e ai.moda. Os nomes referem-se a relações de colaboração, investigação ou engenharia, não a endosso.
Como trabalhamos
Mapeamos quem pode mover o quê, através de que chaves e dispositivos, e onde uma única falha se torna uma perda. Depois desenhamos o setup alvo, ajudamos a implementá-lo com o seu fornecedor ou internamente, e testamo-lo com ensaios antes de mover fundos reais.
Como nos comparamos
- Plataformas de custódia e MPC
- Fornecem a infraestrutura de assinatura. As configurações por defeito ainda têm de ser ajustadas às suas políticas, cadeias e pessoas.
- Auditores de smart contracts
- Revêem código on-chain. A maioria das falhas de assinatura acontece off-chain, em chaves, dispositivos e fluxos de aprovação.
- BitFashioned
- Engenheiros neutros em relação a fornecedores que desenham todo o caminho de assinatura, da geração de chaves ao ecrã de aprovação, e que conseguem construir o que falta.
Comece aqui
Diga-nos que ativos detém, em que cadeias, e como uma transação é aprovada hoje. Dizemos-lhe rapidamente onde estão os pontos fracos.