Sicherheit bei Blockchain0x.
Agentenzahlungen bewegen echtes Geld. Die architektonischen Entscheidungen, die die Kundengelder schützen, die aktuelle Prüfungsposition und wie Sie uns erreichen können, wenn Sie etwas Falsches finden.
Was Sie von dieser Seite erwarten können.
Wir sind ein Unternehmen in der frühen Phase, das Infrastruktur bereitstellt, der Kunden mit Zahlungsautorität vertrauen werden. Vertrauen basiert auf dem, was Sie verifizieren können, nicht auf dem, was Ihnen gesagt wird. Diese Seite dokumentiert vier Dinge, die Kunden und Sicherheitsforscher verifizieren oder uns vorhalten können: die architektonischen Garantien, die auch gelten, wenn wir in allem anderen falsch liegen, den aktuellen Stand unserer Prüfungsposition (einschließlich dessen, was wir noch nicht getan haben), den Umfang und die Belohnungen unseres Bug-Bounty-Programms und den Kontaktweg für verantwortungsvolle Offenlegung.
What this page is not: a marketing surface designed to look maximally serious about security. We did not invent security certifications we do not hold, did not list "compliance" with frameworks we have not audited against, and did not put trust badges on the page that we did not earn. When we have a SOC 2 attestation or a third-party penetration test report, those will be referenced here with the auditing firm, the date, and the scope. Until then, this page says so plainly.
Vier Eigenschaften, die durch Konstruktion gelten.
Die untenstehenden Garantien sind architektonisch - sie sind Eigenschaften, wie das System gebaut ist, nicht wie es betrieben wird. Die operationale Sicherheit kann versagen (ein geleaktes Schlüssel, ein falsch konfiguriertes Deployment); architektonische Garantien hängen nicht davon ab, dass die täglichen Operationen perfekt sind. Dies sind die Teile der Sicherheitsgeschichte, auf die Sie sich auch in der schlimmsten Betriebswoche verlassen können.
Nicht verwahrend auf der Plattformebene
Blockchain0x hält keine Kundengelder. Wallets gehören dem Agenten (oder dem zugrunde liegenden Verwahrungsanbieter, den der Kunde verbunden hat, wie Circle Programmable Wallets oder Coinbase Smart Wallet). Der Blockchain0x-Dienst betreibt die Entwickleroberfläche über diesen Wallets - APIs, Dashboard, Identität, Ausgabenrichtlinie - und hat niemals die Unterzeichnungsbefugnis über Guthaben.
Ausgabenrichtlinie serverseitig durchgesetzt, nicht im Agenten
Tägliche Obergrenzen, pro-Zahlung Obergrenzen, Gegenparteien-Whitelist und Zeitfenster werden von der Blockchain0x-Wallet-API bei jedem Zahlungsantrag vor der Abwicklung ausgewertet. Die Agentenlaufzeit kann nicht auf den Richtlinenspeicher zugreifen; ein Agent, der eine Eingabeaufforderung erhält, kann seine eigenen Grenzen nicht erhöhen.
Empfangsvalidierte Zahlungsbestätigung
Zahlungsbelege, die von der API bereitgestellt werden, werden serverseitig gegen die ausstellende Transaktion validiert, bevor sie bestätigen. Ein Client kann einen Beleg nicht lokal fälschen und als Zahlungsnachweis vorlegen; der Validierungsschritt für Belege verwendet dasselbe Vertrauensmodell wie die Webhook-Signaturen von Stripe.
Webhook-Signaturen, keine gemeinsamen Geheimnisse in URLs
Jedes Webhook-Ereignis, das wir ausgeben, ist mit HMAC-SHA256 über den Rohkörper unter Verwendung eines pro-Mieter-Signaturgeheimnisses signiert. Das Signaturgeheimnis wird niemals in der URL oder der Abfragezeichenfolge gesendet. Kunden überprüfen die Signaturen bei Erhalt; wir stellen Referenzimplementierungen in den Dokumenten zur Verfügung.
Wo wir heute stehen, ehrlich gesagt.
The table below is the current state of external audits, third-party reviews, and certifications. We update this page when any line changes - dates are real, scopes are real, and "planned" means scheduled with a firm, not aspirational.
Drittanbieter-Penetrationstest
Geplant für Q4 2026Der erste externe Penetrationstest ist für die zweite Jahreshälfte geplant. Umfang: Webanwendung, öffentliche APIs, Webhook-Oberfläche, Dashboard-Authentifizierung. Eine vollständige Zusammenfassung des Berichts wird hier veröffentlicht, wenn sie abgeschlossen ist.
SOC 2 Typ I
Ziel für 2027Wir sind heute nicht SOC 2 geprüft. Der ehrliche erwartete Zeitraum für eine Type I-Bestätigung ist die erste Hälfte von 2027; Type II folgt nach einem Beobachtungszeitraum von 6 bis 12 Monaten.
Smart-Contract-Prüfungen
Von upstream geerbtWir betreiben heute keine eigenen Smart Contracts. Die On-chain-Primitiven sind Circle Programmable Wallets, Coinbase Smart Wallet und die zugrunde liegenden Base / USDC-Contracts, die jeweils über eigene unabhängige Audit-Berichte der herausgebenden Teams verfügen. Wenn und falls wir eigene Contracts (Account-Abstraction-Features) ausliefern, werden diese vor dem Mainnet-Deployment auditiert.
Jährliche interne Sicherheitsüberprüfung
LaufendVierteljährliche Geheimrotation, Überprüfung der Abhängigkeiten und Audit der Zugriffskontrolle. Die Checkliste zur Härtung vor dem Start ist in unserem [sichere-dein-agenten-wallet-Leitfaden](/learn/guides/secure-your-agent-wallet) für Kunden dokumentiert; die interne Version spiegelt dies wider.
Wir bezahlen für Sicherheitsforschung.
Wir betreiben ein privates Bug-Bounty-Programm. Berichte gehen direkt an unsere Sicherheits-E-Mail; wir triagieren innerhalb von zwei Geschäftstagen und zahlen bestätigte Ergebnisse nach Schweregrad. Auszahlungen erfolgen in USDC, auf Base, an die Wallet der Wahl des Meldenden. Wir verlangen keine rechtlichen NDAs, um einen Bericht einzureichen.
Im Geltungsbereich
- Authentifizierung und Sitzungsverwaltung im Dashboard oder API.
- Rechteausweitung zwischen Workspaces oder Agents im selben Account.
- Server-Side Request Forgery, Command Injection oder Remote Code Execution in der API.
- Umgehung der Webhook-Signatur oder Umgehung der Belegvalidierung.
- Umgehung der Ausgabenrichtlinie, die es einem Agenten erlaubt, Geld außerhalb seiner konfigurierten Limits oder Allowlist zu bewegen.
- Erhebliche Datenoffenlegung (Transaktionen, Secrets, Audit-Logs anderer Tenants).
Außerhalb des Umfangs
- Self-XSS oder Angriffe, bei denen das Opfer schädliche Eingaben in seine eigene Konsole tippen oder einfügen muss.
- Meldungen, die auf Social Engineering gegenüber Mitarbeitern oder Auftragnehmern beruhen.
- Meldungen zu Drittanbieterdiensten, mit denen Blockchain0x integriert ist (Coinbase, Circle usw.) - diese sollten an das jeweilige Programm des Drittanbieters gehen.
- Befunde gegen Test-Endpunkte (`sk_test_`-Schlüssel, `*.test.blockchain0x.com`, Base Sepolia).
- Fehlende Security-Header ohne nachgewiesene Auswirkung.
- Theoretische Probleme ohne funktionierenden Proof-of-Concept.
| Schweregrad | Beispiele | Auszahlungsbereich |
|---|---|---|
| Kritisch | Cross-Tenant-Geldbewegungen, Umgehung der Ausgabenrichtlinie in großem Maßstab, Kontoübernahme ohne Benutzeraktion. | $5,000 - $25,000 |
| Hoch | Authentifizierte Privilegieneskalation, Umgehung der Webhook-Signatur mit messbarem Einfluss, serverseitige Anforderungsfälschung in der API. | $1,000 - $5,000 |
| Mittel | Stored XSS im Dashboard mit realistischem Ausnutzungsweg, sensible Informationsleckage mit begrenztem Einfluss. | $250 - $1,000 |
| Niedrig | Reflektiertes XSS mit begrenzter Ausnutzbarkeit, geringfügigen Informationslecks, Härtungsempfehlungen mit nachgewiesenem Wert. | $50 - $250 |
Auszahlungsentscheidungen sind endgültig und werden vom technischen Leiter im Gespräch mit dem Gründer getroffen. Die Belohnung gilt für bestätigte, reproduzierbare Ergebnisse im Rahmen; Duplikate eines bereits gemeldeten Problems zahlen nur dem ersten Reporter. Wir kreditieren Reporter auf Anfrage öffentlich auf dieser Seite, sobald das Problem behoben ist.
Wie man ein Sicherheitsproblem meldet.
E-Mail [email protected] mit: einer Beschreibung des Problems, einer Schritt-für-Schritt-Reproduktion, der betroffenen URL oder dem Endpunkt, dem beobachteten Einfluss und Ihren Kontaktdaten für die Auszahlung der Belohnung (eine Base-Wallet-Adresse ist ausreichend; kein echter Name erforderlich). Verschlüsselte Berichte sind willkommen - unser PGP-Schlüssel ist auf Anfrage verfügbar.
Wir verpflichten uns, Ihren Bericht innerhalb von zwei Geschäftstagen anzuerkennen, innerhalb von fünf zu triagieren und innerhalb von dreißig Tagen für bestätigte Ergebnisse eine Lösung oder eine Risikoakzeptanzentscheidung zu liefern (oder früher für kritische Probleme). Wir drohen nicht mit rechtlichen Schritten gegen gute Sicherheitsforschung, die verantwortungsvolle Offenlegungsnormen befolgt - Daten nur so weit offenzulegen, wie nötig, um das Problem zu demonstrieren, keine Kundendaten zu exfiltrieren und keine störenden Tests durchzuführen, die Produktionsbenutzer betreffen.
Für nicht sicherheitsrelevante Probleme (allgemeine Unterstützung, Abrechnung, Partnerschaften) verwenden Sie /contact. Die Sicherheits-E-Mail wird nur für Sicherheitsberichte überwacht.
Was wir sagen, wenn etwas schiefgeht.
Produktionsvorfälle, die Kundenfonds, Kundendaten oder die Verfügbarkeit der Zahlungs-API betreffen, erhalten innerhalb von dreißig Tagen nach der Lösung eine öffentliche Nachbesprechung, unabhängig von der Schwere. Kleinere Vorfälle (verschlechterte Leistung, Teilregion-Ausfälle) werden über Statusaktualisierungen an betroffene Kunden kommuniziert, erhalten jedoch nicht unbedingt eine Nachbesprechung.
Wir geben den Kunden in Nachbesprechungen keine Schuld. Wir geben Drittanbietern keine Schuld, wenn die Ursache bei uns lag. Wir benennen die Ursachen klar, listen auf, was wir als Ergebnis ändern, und halten die Nachbesprechung unbegrenzt verfügbar. Die Erwartung, die Kunden haben sollten, ist, dass wir Ihnen sagen, was passiert ist, bevor Sie fragen müssen.
Sicherheitskontakt
Berichte und Belohnungsanträge: [email protected]. PGP-Schlüssel auf Anfrage.