Zum Inhalt springen
Crypto Merchant
Loslegen

Konto

Sicherheit & Wiederherstellung

Wie Coins auf Crypto Merchant geschützt sind und wie sie wiederhergestellt werden können, wenn etwas schiefgeht.

Verwahrung

Crypto Merchant ist ein Verwahrdienst. Wir halten die Schlüssel zu Ihrer Pool-Wallet und Ihren Einzahlungsadressen und bewegen Coins auf Ihre Anweisung. Ein Hauptbuch hält fest, welche Coins welchem Unternehmen gehören.

Jedes Unternehmen hat seine eigene Pool-Wallet, keinen Anteil an einer von allen genutzten Hot Wallet. Ihre Pool-Adressen und deren aktuelle On-Chain-Guthaben finden Sie auf der Seite Wallets, mit Block-Explorer-Links für jedes Netzwerk.

Eine Master-Wiederherstellungsphrase

Jede Wallet auf Crypto Merchant wird nach den offenen Standards BIP-39 und BIP-44 aus einer einzigen Master-Wiederherstellungsphrase abgeleitet. Jedes Unternehmen hat unter dieser Phrase seine eigene Kontonummer, sodass seine Adressen und seine Buchführung von denen aller anderen Unternehmen getrennt sind. Die Schlüssel sind nicht getrennt: Wer die Phrase besitzt, kann auf jede Wallet zugreifen. Deshalb wird sie wie unten beschrieben aufbewahrt.

Der Betreiber bewahrt eine Kopie der Phrase auf Papier offline auf. Coins werden von einem separaten Signierrechner des Betreibers gesendet, der die Phrase nur verschlüsselt speichert. Die Website und ihre Server verfügen zu keinem Zeitpunkt über die Phrase oder einen privaten Schlüssel.

Wenn Server verloren gehen

Da jede Adresse einem Standard-Ableitungspfad folgt, können alle Adressen und ihre Schlüssel auf neuer Hardware aus der Wiederherstellungsphrase neu erstellt werden, selbst wenn alle Server verloren gehen.

Die Phrase stellt Schlüssel wieder her, keine Datensätze. Guthaben, Rechnungen und Kundenreferenzen liegen in der Datenbank der Plattform, die täglich gesichert wird. Die Sicherungen werden getestet, indem sie in eine separate Datenbank wiederhergestellt werden und jede Tabelle und jeder Saldo im Hauptbuch mit den Live-Daten verglichen wird.

Gefälschte Token und Flash-Token

Jeder kann einen Token namens „USDT“ oder „USDC“ erstellen und an jede beliebige Adresse senden. Betrüger nutzen diese nachgemachten Token sowie „Flash“-Überweisungen, die in einer Wallet erscheinen, aber nie endgültig ankommen, um den Eindruck zu erwecken, eine Zahlung sei eingegangen. Nichts davon kann auf Crypto Merchant eine Zahlung als bezahlt markieren. Diese Prüfungen laufen bei jeder Rechnung, jedem Zahlungslink und jeder Bezahlseite, für jedes Unternehmen. Sie müssen nichts aktivieren.

  • Token werden anhand ihres offiziellen Contracts erkannt. Eine Token-Zahlung zählt nur, wenn sie vom unten aufgeführten offiziellen Contract stammt (auf Solana vom offiziellen Mint). Wir richten uns nie nach dem Namen, dem Symbol oder dem Logo eines Tokens, daher wird ein „USDT“ von jedem anderen Contract ignoriert. Auf Tron zählt nur der offizielle TRC-20-Contract, und TRC-10-Token, die jeder USDT nennen kann, werden ignoriert.
  • Fehlgeschlagene Transaktionen zählen nie. Eine Überweisung, die auf der Blockchain fehlgeschlagen ist oder rückgängig gemacht wurde, wird ignoriert, auch wenn sie in einem Block-Explorer angezeigt wird.
  • Nur bestätigte Zahlungen zählen. Eine Zahlung wird erst gutgeschrieben, nachdem ihr Netzwerk sie bestätigt hat. Die Anzahl der Bestätigungen für jedes Netzwerk finden Sie unter Coins & Netzwerke. Eine Zahlung, die erkannt, aber nie bestätigt wird, zum Beispiel eine Bitcoin- oder Litecoin-Transaktion, die ersetzt (replace-by-fee) oder doppelt ausgegeben wurde, wird als verworfen markiert und nie gutgeschrieben. Ihre Adresse wird danach stillgelegt und nie an einen anderen Kunden vergeben.
  • XRP-Teilzahlungen. Auf dem XRP Ledger kann eine Zahlung einen großen Betrag nennen, aber nur einen kleinen Teil davon zustellen. Wir schreiben nur gut, was tatsächlich zugestellt wurde (delivered_amount), nie den Betrag, den die Zahlung nennt. Ausgegebene Token, die sich XRP nennen, werden abgelehnt: Nur natives XRP zählt.
  • Gram auf TON. Nur Gram (GRAM), das tatsächlich auf der Adresse verbleibt, zählt. Zahlungen, die an den Absender zurückgegangen sind, werden ignoriert, ebenso eine Nachricht, die nur in ihrem Text einen Betrag nennt, etwa eine gefälschte Token-Benachrichtigung.

Offizielle Token-Contracts

Dies sind die einzigen Token-Contracts, die Crypto Merchant akzeptiert. Es sind die Contracts, die Tether für USDT und Circle für USDC veröffentlicht haben. USDC ist in jedem Netzwerk das native USDC von Circle, keine Bridge-Version wie USDC.e. Diese Liste stammt aus demselben Register, das unsere Zahlungsüberwachung verwendet, daher stimmt sie immer mit dem überein, was sie prüft.

Wenn ein Kunde sagt, er habe bezahlt, die Zahlung aber auf Ihrer Seite „Zahlungen“ nicht als bezahlt markiert ist, suchen Sie die Transaktion in einem Block-Explorer. Vergleichen Sie den Contract des Tokens mit dieser Liste und prüfen Sie, ob die Transaktion erfolgreich und bestätigt ist. Geben Sie keine Ware für eine Zahlung heraus, die nicht als bezahlt markiert ist.

Reservennachweis

Unsere Seite Reservennachweis ist öffentlich. Jede Stunde stellt sie für jeden Coin dem, was wir schulden, gegenüber, was wir halten. Was wir schulden, stammt aus dem Hauptbuch: Guthaben von Unternehmen, zurückgelegte Partneranteile sowie Erstattungen und Ansprüche, die auf Kunden warten. Was wir halten, wird an unseren Pool- und Einzahlungsadressen von den Blockchains gelesen. Die Seite zeigt die Deckung für jeden Coin.

Jede Adresse, die Coins hält, ist mit einem Block-Explorer-Link aufgeführt, ohne anzugeben, wem sie gehört, und Sie können alle als CSV herunterladen. Ihre eigenen Pool-Adressen stehen auf Ihrer Seite „Wallets“, sodass Sie sie in der öffentlichen Liste finden können.

Seine Grenzen: Er ist eine Momentaufnahme, daher können Coins, die während der Prüfung zwischen unseren Adressen bewegt werden, verspätet gezählt werden. Er zeigt, dass die Coins vorhanden sind, nicht, wie die Plattform betrieben wird, und er ist keine Prüfung durch einen Wirtschaftsprüfer.

Verifizierte Domain

Eine verifizierte Domain zeigt Kunden, dass Ihr Shop die Website-Domain kontrolliert, die er nennt. Sobald sie verifiziert ist, zeigen Ihre Bezahlseite, Ihre Zahlungslinks, Rechnungsseiten und Erstattungsseiten sie neben dem Namen Ihres Shops an, zum Beispiel shop.com · verifiziert, und Linkvorschauen enthalten sie.

  1. 1

    Fügen Sie Ihre Website unter Unternehmensdaten in den Einstellungen hinzu.

  2. 2

    Öffnen Sie Einstellungen → Verifizierte Domain und kopieren Sie den TXT-Eintrag. Sein Wert ist cryptomerchant-verification=, gefolgt von Ihrem eigenen Token.

  3. 3

    Fügen Sie den Eintrag in Ihren DNS-Einstellungen hinzu, auf der Domain Ihrer Website, auf der reinen Domain (ohne www.) oder auf _cryptomerchant., gefolgt von Ihrer Domain.

  4. 4

    Klicken Sie auf Prüfen. Es kann einige Minuten bis eine Stunde dauern, bis DNS-Änderungen sichtbar werden.

Wir prüfen den Eintrag jeden Tag erneut. Das Abzeichen wird entfernt, wenn der Eintrag fehlt oder wenn Sie Ihre Website in den Einstellungen ändern. Wir fragen nur DNS-Einträge ab: Ihre Website rufen wir nie auf.

Sie belegt die Kontrolle über das DNS der Domain, mehr nicht. Sie ist weder eine Empfehlung durch Crypto Merchant noch eine Identitätsprüfung.

Schützen Sie Ihr Konto

  • Verwenden Sie ein starkes Passwort, das Sie nirgendwo sonst verwenden. Passwörter werden nur als sicherer Hash gespeichert.
  • Aktivieren Sie die Zwei-Faktor-Anmeldung mit einer Authenticator-App.
  • Geben Sie jedem Teammitglied die niedrigste Rolle, die es braucht. Siehe Team-Rollen.
  • Bewahren Sie API-Schlüssel und Webhook-Geheimnisse auf Ihrem Server auf und widerrufen Sie jeden Schlüssel, der Ihrer Meinung nach offengelegt wurde.
  • Prüfen Sie Auszahlungsadressen doppelt. Krypto-Überweisungen können nicht rückgängig gemacht werden.
  • Erstatten Sie Kunden mit einem Erstattungslink, damit sie ihre eigene Adresse eingeben, statt eine Adresse aus einem Chat zu kopieren.

Problem melden

Wenn Ihnen bei Ihrem Konto oder einer Zahlung etwas auffällt, schreiben Sie an [email protected]. Wir werden Sie nie nach Ihrem Passwort oder Ihren Zwei-Faktor-Codes fragen.