Segurança

1. Onde a chave fica

• A chave é importada ou criada no seu aparelho e nunca é enviada a servidor nenhum. Cada transação é assinada ali.
• Em disco ela é cifrada pelo sistema: DPAPI no Windows, Keychain no macOS, libsecret no Linux e Android Keystore no celular. O arquivo copiado para outro computador não abre.
• A frase de recuperação (carteira criada no bot) fica cifrada do mesmo jeito; para vê-la de novo o bot pede o PIN do app e, com o cofre ligado, a senha do cofre.

2. Cofre com senha

A proteção do sistema impede que o arquivo seja aberto em outra máquina, mas um programa malicioso rodando como o seu usuário consegue abri-la. O cofre acrescenta uma segunda camada, que depende de uma senha que não é gravada em lugar nenhum:

• Argon2id (46 MiB de memória, 2 passagens) deriva a chave mestra da senha — cada tentativa de adivinhar custa segundos e memória, inclusive em placa de vídeo.
• XChaCha20-Poly1305 cifra cada segredo com nonce aleatório de 24 bytes; um byte alterado e o arquivo é recusado.
• HKDF-SHA256 gera uma subchave por arquivo, e o arquivo é amarrado ao nome e à conta: trocar um arquivo por outro é recusado.
• Vale para a carteira EVM, a Solana, a frase de recuperação e as chaves de API de corretora. Bibliotecas auditadas (@noble/hashes, @noble/ciphers).
• Esqueceu a senha: ninguém recupera — nem nós. A saída é importar de novo a chave ou a frase.

3. O programa

• A tela roda isolada do motor (contextIsolation, sem Node); só uma ponte com comandos fixos chega ao motor — nenhum deles devolve a chave.
• A janela não navega para fora do app, não abre janelas nem webviews; links externos vão para o navegador.
• O executável é selado (Electron Fuses): verificação de integridade do pacote, sem modo Node, sem depurador anexável, DevTools desligado.
• Sandbox do Chromium na tela, verificação de origem e de formato em toda chamada ao motor, permissões do navegador interno negadas (câmera, microfone, localização, USB…) e PIN do app com PBKDF2-SHA256 (600 mil iterações) e espera crescente após erros.

4. As ordens

• Proteção anti-MEV ligada por padrão no Ethereum (MEV Blocker) e na BNB Chain (48 Club): a ordem não passa pelo mempool público, onde robôs de sandwich atuam.
• Sem cotação, sem ordem: o bot nunca envia uma compra sem saída mínima.
• Antes de comprar, a checagem anti-honeypot: simulação de compra e venda (Ethereum, BNB Chain, Base) e, na Solana, leitura dos poderes do emissor (congelar, retirar tokens, transfer hook, pausa, imposto).
• Durante a posição (EVM), a venda é simulada a cada ~30 s: se o token passar a recusar venda depois da compra, o console avisa. Aviso quando a RPC protegida cai, slippage com teto de 50% e o pior caso aceito mostrado ao lado do campo.

5. O que fica no servidor

Conta (email), plano, indicações e o rank verificado — este a partir de assinaturas públicas das carteiras, que provam a posse sem revelar nada. Chave, frase e senha do cofre nunca. O banco usa regras por linha (RLS): cada conta lê e altera só o que é dela.

6. Limites — o que nenhum software resolve

• Se o computador ou o celular estiver infectado enquanto o bot está aberto, as chaves em uso estão em memória. Antivírus atualizado e sistema em dia continuam sendo a primeira defesa.
• Use uma carteira dedicada ao bot, só com o valor que você aceita arriscar.
• Baixe o bot só por cryptosniper.com.br. Operar criptoativos envolve alto risco; nenhuma ferramenta garante lucro.

7. Histórico

• 08/10/2026 — o app web antigo (da época do motor na nuvem, descontinuado em 09/2026) foi retirado do site. /app passou a ser só a página de convite: cadastro e download, sem campo de chave.

8. Encontrou uma falha?

Fale direto com o suporte, sem publicar detalhes antes da correção:

Telegram @SupCryptoSniper · Instagram @cryptosnipersbr