VELARCAPITAL

VELAR CAPITAL

Безопасность и журнал

Что защищает счёт сейчас: отдельный пароль вывода, фиксация адреса, короткая сессия и журнал проводок. И что ещё не подключено — прямо, без «скоро».

Безопасность счёта — это не один переключатель, а несколько независимых слоёв: пароль входа, отдельный пароль вывода, фиксация адреса, ограниченная сессия и журнал проводок. Ниже — что работает сейчас, а что ещё не подключено.

Вход и сессии

Сессия клиента живёт 30 минут простоя и не дольше 14 суток с момента входа. У оператора — 8 часов простоя и 12 часов абсолютного срока. Пароли хранятся как scrypt-хэши с солью; токен сессии — только как sha256-дайджест, поэтому из базы нельзя восстановить ни пароль, ни действующий токен.

Пароль вывода

Это отдельный секрет, не равный паролю входа. Минимум 8 символов. Без него заявка на вывод не создаётся: сервер отвечает withdraw_password_required (403). Установите пароль до первой заявки.

Фиксация адреса

Адрес кошелька берётся из профиля в момент оформления заявки и замораживается в ней. Последующая смена адреса в настройках не меняет уже созданную заявку. Это защищает от подмены получателя между проверкой и отправкой, но не от ошибки в самом адресе — проверяйте сеть и первые символы.

Журнал операций

Каждая проводка в кабинете — с датой, суммой, основанием и знаком. Начисления, резерв COVER, реферальные бонусы и заявки на вывод — отдельные строки. Публичный журнал циклов доступен на /epochs; историю операций можно выгрузить в CSV.

Что ещё не подключено

Двухфакторный вход по TOTP (RFC 6238) реализован отдельным модулем, но к маршрутам входа не подключён. Считать, что 2FA действует, нельзя. Также нет аппаратных ключей и подтверждения вывода по email — не ищите эти пункты в настройках.

Пароли и менеджер паролей

Пароль входа и пароль вывода должны быть разными: первый защищает доступ к кабинету, второй подтверждает движение средств. Для пароля входа подойдёт длинная фраза, которую вы не используете на других сайтах; менеджер паролей снижает риск повтора. Пароль вывода хранится отдельно от пароля входа и проверяется движком при создании заявки.

Что делать при подозрении на доступ

Откройте журнал операций и проверьте последние проводки, заявки и изменения профиля. Смените пароль входа и пароль вывода, проверьте адрес кошелька в профиле и созданные заявки. Обращение в поддержку попадает в очередь сотрудников; автоматической «заморозки счёта» одной кнопкой нет, поэтому не ждите мгновенной реакции — фиксируйте время и номера операций.

Ограничения демо-режима

В демонстрационном контуре работают те же проверки пароля, фиксация адреса и журнал, но реальные средства не принимаются. TOTP — второй фактор входа; он не заменяет пароль вывода, который проверяется отдельно при создании заявки. Проверять защиту вывода можно на учебном балансе: статусы и резервы считаются по реальным правилам, блокчейн-транзакция не отправляется.

Как проверить свои записи

Вывод USDT: вопросыОтвет про защиту в FAQ