Como fundos e dados são protegidos

Sem saldo reutilizável

Sua conta não possui saldo. Um depósito é vinculado a uma ordem, convertido e depois pago. Não há função de armazenamento, nem retirada para terceiros, nem transferência entre contas.

Tempo mínimo de retenção

O tempo em que os fundos ficam sob nosso controle é limitado à confirmação da rede, verificações de conformidade e emissão do pagamento. Encurtar essa janela é a medida de segurança mais eficaz, à frente de qualquer dispositivo técnico.

Endereço de depósito dedicado

Cada ordem recebe seu próprio endereço. Um depósito é, portanto, inequivocamente atribuível, e um endereço não pode ser reutilizado para enganar um cliente sobre o destino.

Separação entre carteiras quentes e frias

Apenas a fração operacional necessária para liquidar ordens em andamento permanece em signatários conectados. O restante é mantido offline, com chaves divididas e um limite de múltiplas assinaturas.

Fundos de clientes segregados

Os fundos em processo de conversão são contabilizados separadamente dos fundos próprios. Eles não financiam nenhuma atividade da empresa e não são emprestados nem dados em garantia.

Aprovação dupla em pagamentos

Acima de um limite, uma instrução de pagamento exige duas aprovações separadas. Um único acesso interno comprometido não é suficiente para movimentar fundos para fora.

Criptografia em trânsito

Todo o tráfego roda sobre TLS, sem exceção e sem fallback em texto puro. Transporte estrito é imposto por cabeçalho, o que impede uma solicitação inicial não criptografada.

Criptografia em repouso

Bancos de dados, backups e armazenamento de documentos são criptografados. Imagens de documentos de identidade e capturas de vivacidade ficam em um armazenamento separado dos dados da conta.

Segredos e chaves

Nenhum segredo no código ou nos logs. As chaves de criptografia são mantidas por um serviço dedicado, com rotação programada e separação entre quem detém a chave e quem acessa os dados.

Logs limpos

Identificadores bancários, chaves de pagamento e conteúdo de documentos são removidos dos logs de aplicação no momento da gravação. Um incidente nos logs, portanto, não expõe detalhes de pagamento utilizáveis.

Senhas

Armazenadas como hash com função de derivação lenta e salt único. Não podemos lê-las, então não podemos lembrá-lo de uma — apenas permitir que você a redefina.

Privilégio mínimo

O acesso é concedido por função e para uma tarefa. O suporte não vê documentos de identidade; a conformidade não pode alterar um valor; a engenharia não alcança arquivos de clientes em produção.

Segundo fator obrigatório

Nenhum acesso interno sem um segundo fator de hardware. Códigos por mensagem de texto não são aceitos para acesso interno: eles são vulneráveis a sequestro de número.

Registro de acesso

Cada abertura de um arquivo de verificação é registrada com o agente e um carimbo de data/hora. Os logs são retidos e revisados periodicamente.

Nenhum dado de produção em outros lugares

Ambientes de desenvolvimento e teste rodam com dados sintéticos. Copiar um banco de dados de produção para uma estação de trabalho é proibido e tecnicamente impedido.

Desligamento e revisão de acesso

O acesso é revogado quando alguém sai e revisado periodicamente. Acesso não utilizado é removido em vez de mantido "por precaução".

1. 01

   Ative um segundo fator

   Aplicativo autenticador ou chave de hardware. Torna-se obrigatório acima do segundo nível de verificação. A ausência de um segundo fator continua sendo a principal causa de desvio de pagamentos vista neste setor.

2. 02

   Verifique suas sessões

   As sessões ativas são listadas com seu dispositivo, localização aproximada e data. Você pode revogar uma remotamente sem alterar sua senha.

3. 03

   Período de reflexão para novo beneficiário

   Adicionar uma conta de destino aciona uma notificação e um atraso antes que ela possa receber um valor alto. Esse atraso existe para que o acesso fraudulento não se transforme instantaneamente em uma transferência.

4. 04

   Notificações de alterações

   Alteração de senha, adição de beneficiário, segundo fator ativado ou desativado: cada evento envia uma mensagem para o endereço registrado, inclusive quando você mesmo o fez.

5. 05

   Reconhecer phishing

   Nunca pediremos sua frase de recuperação, nunca pediremos que você deposite em um endereço enviado por mensagem, nunca pediremos que você converta fundos para “proteger” uma conta. Um endereço de depósito existe apenas dentro do seu pedido.

Esses cabeçalhos vêm da configuração do servidor, não de uma camada opcional. Eles não substituem os controles do aplicativo: fecham as portas que somente o navegador pode fechar.

1. 01

   Detecção e triagem

   Alertas sobre acesso anormal, séries de autenticações falhas e lacunas de conciliação. Um alerta é triado por uma pessoa, nunca fechado automaticamente.

2. 02

   Contenção

   Revogação do acesso em questão, congelamento de pagamentos se a dúvida tocar um movimento de fundos, isolamento do componente afetado. O serviço pode ser deliberadamente interrompido: preferimos uma interrupção a um pagamento duvidoso.

3. 03

   Notificação

   Uma violação de dados pessoais que possa criar um risco é notificada à autoridade de supervisão em até 72 horas, e diretamente às pessoas afetadas quando o risco é alto.

4. 04

   Retorno ao serviço

   Restauração a partir de backups criptografados cujo procedimento de restauração é testado — um backup nunca restaurado não é um backup.

5. 05

   Nota pública

   Publicamos uma nota de incidente descrevendo o que aconteceu, o que foi exposto e o que mudou, mesmo quando a notificação individual não é exigida.

Nenhuma auditoria externa até o momento

Nenhum teste de penetração de terceiros e nenhuma certificação foi realizado. Portanto, não exibimos logotipo de auditoria, selo ou alegação de certificação. No dia em que uma auditoria for realizada, seu escopo e data aparecerão aqui.

Uma transação on-chain não pode ser desfeita

Nenhuma medida de segurança torna reversível uma transferência confirmada em uma rede pública. Isso é uma propriedade da rede, não uma lacuna de nossa parte.

Um dispositivo comprometido

Se seu computador ou telefone estiver comprometido, um segundo fator baseado em aplicativo pode ser contornado. Uma chave de hardware continua sendo a única proteção genuinamente resistente nesse caso.

Provedores de pagamento

Uma vez que a instrução chega à instituição de pagamento, o roteamento depende de sua infraestrutura e de bancos intermediários. Escolhemos nossos provedores, não os operamos.

Risco zero

Não vamos prometer isso. O que podemos prometer é uma superfície reduzida, detecção rápida e comunicação que não minimiza.