本文へスキップ
Crypto Merchant
はじめる

アカウント

セキュリティと復元

Crypto Merchant上のコインがどのように保護され、問題が起きた場合にどのように復元できるかを説明します。

カストディ

Crypto Merchantはカストディアル型サービスです。当社がプールウォレットと入金アドレスの鍵を保管し、お客様の指示に従ってコインを移動します。どのコインがどのビジネスに属するかは、台帳に記録されます。

各ビジネスには専用のプールウォレットがあり、全員で使う1つのホットウォレットを分け合うものではありません。プールのアドレスとオンチェーンのリアルタイム残高は、ネットワークごとのブロックエクスプローラーへのリンクとともにウォレットページに表示されます。

1つのマスターリカバリーフレーズ

Crypto Merchant上のすべてのウォレットは、オープン規格であるBIP-39とBIP-44を使って、1つのマスターリカバリーフレーズから導出されます。各ビジネスにはそのフレーズの下で独自のアカウント番号が割り当てられるため、そのアドレスと帳簿は他のすべてのビジネスから分離されています。ただし、鍵は分離されていません。フレーズを持つ人はすべてのウォレットにアクセスできるため、フレーズは以下に説明する方法で保管されています。

運営者は、このフレーズの写しを紙に記録してオフラインで保管しています。コインの送金は、運営者が管理する別の署名用コンピューターが行い、このコンピューターはフレーズを暗号化された形式でのみ保存しています。ウェブサイトとそのサーバーが、フレーズや秘密鍵を保持することは一切ありません。

サーバーが失われた場合

すべてのアドレスは標準の導出パスに従っているため、すべてのサーバーが失われた場合でも、新しいハードウェア上でリカバリーフレーズからすべてのアドレスとその鍵を再構築できます。

リカバリーフレーズで復元できるのは鍵であり、記録ではありません。残高、請求書、顧客の参照情報はプラットフォームのデータベースに保存されており、データベースは毎日バックアップされています。バックアップは、別のデータベースに復元し、すべてのテーブルと台帳残高を本番データと照合することでテストしています。

偽トークンとフラッシュトークン

誰でも「USDT」や「USDC」という名前のトークンを作成し、任意のアドレスに送ることができます。詐欺師は、こうした見た目の似たトークンや、ウォレットには表示されても決して確定しない「フラッシュ」送金を使って、支払いが届いたように見せかけます。これらはいずれも、Crypto Merchantで決済を支払い済みにすることはできません。このチェックは、すべてのビジネスのすべての請求書、決済リンク、ストアページで実行されます。有効にする設定はありません。

  • トークンは公式コントラクトで照合されます。トークンでの決済は、下記の公式コントラクト（Solanaでは公式のミント）から送られた場合にのみ計上されます。トークンの名前、シンボル、ロゴで判断することはないため、他のコントラクトからの「USDT」は無視されます。Tronでは公式のTRC-20コントラクトのみが計上され、誰でもUSDTと名付けられるTRC-10トークンは無視されます。
  • 失敗したトランザクションは計上されません。ブロックチェーン上で失敗またはリバートされた送金は、ブロックエクスプローラーに表示されていても無視されます。
  • 承認された決済のみが計上されます。決済は、そのネットワークで承認された後にのみ残高に計上されます。各ネットワークの承認数はコインとネットワークに記載されています。検出されても承認されない決済、たとえば置き換え（replace-by-fee）や二重支払いが行われたBitcoinやLitecoinのトランザクションは、ドロップとして記録され、残高に計上されることはありません。その後、そのアドレスは使用停止となり、他の顧客に割り当てられることはありません。
  • XRPの部分支払い。XRP Ledgerでは、決済に大きな金額が記載されていても、実際に届くのはそのごく一部ということがあります。当社は、実際に届いた金額（delivered_amount）のみを計上し、決済に記載された金額を計上することはありません。XRPを名乗る発行トークンは拒否されます。計上されるのはネイティブのXRPのみです。
  • TON上のGram。実際にアドレスに残ったGram（GRAM）のみが計上されます。送信者にバウンスして戻った支払いは無視されます。偽のトークン通知のように、本文で金額を示すだけのメッセージも無視されます。

公式トークンコントラクト

Crypto Merchantが受け付けるトークンコントラクトは、これらだけです。USDTはTether、USDCはCircleが公開しているコントラクトです。USDCは、すべてのネットワークでCircleのネイティブUSDCであり、USDC.eのようなブリッジ版ではありません。この一覧は、当社の決済監視システムが使うものと同じレジストリから作成されるため、監視システムがチェックする内容と常に一致します。

顧客が支払ったと言っているのに、決済ページでその決済が支払い済みになっていない場合は、ブロックエクスプローラーでトランザクションを調べてください。トークンのコントラクトをこの一覧と照らし合わせ、トランザクションが成功し、承認されていることを確認してください。支払い済みになっていない決済に対して、商品を引き渡さないでください。

準備金証明

当社の準備金証明ページは公開されています。1時間ごとに、すべてのコインについて、当社のお預かり額と保有額を並べて表示します。お預かり額は台帳に基づくもので、ビジネスの残高、確保されたパートナー分配分、顧客の受け取りを待っている返金や請求分が含まれます。保有額は、当社のプールアドレスと入金アドレスについてブロックチェーンから読み取ります。ページには、コインごとのカバー率が表示されます。

コインを保有しているすべてのアドレスが、誰のものかを示さずに、ブロックエクスプローラーへのリンクとともに掲載されており、すべてをCSVでダウンロードできます。ご自身のプールアドレスはウォレットページに表示されているので、公開リストの中から見つけることができます。

限界：これはスナップショットであるため、確認中に当社のアドレス間で移動しているコインは、遅れて計上されることがあります。コインが存在することは示しますが、プラットフォームの運営方法を示すものではなく、監査でもありません。

認証済みドメイン

認証済みドメインは、ストアが示しているWebサイトのドメインをそのストアが管理していることを顧客に示します。認証されると、チェックアウトページ、決済リンク、請求書ページ、返金ページのストア名の横にshop.com · 認証済みのように表示され、共有時のプレビューにも含まれます。

  1. 1

    設定のビジネスの詳細でWebサイトを追加します。

  2. 2

    設定 → 認証済みドメインを開き、TXTレコードをコピーします。値は、cryptomerchant-verification=の後にあなた専用のトークンが続く形式です。

  3. 3

    DNS設定で、Webサイトのドメイン、ルートドメイン（www.なし）、または_cryptomerchant.の後にドメインを続けた名前に、レコードを追加します。

  4. 4

    確認を押します。DNSの変更が反映されるまで、数分から1時間ほどかかることがあります。

当社は毎日レコードを再確認します。レコードがなくなった場合、または設定でWebサイトを変更した場合、バッジは削除されます。当社が参照するのはDNSレコードのみで、Webサイトにアクセスすることはありません。

これが証明するのは、ドメインのDNSを管理していることだけです。Crypto Merchantによる推奨でも、本人確認でもありません。

アカウントを保護する

  • 他で使っていない強力なパスワードを使用してください。パスワードは安全なハッシュとしてのみ保存されます。
  • 認証アプリで二段階認証を有効にしてください。
  • 各チームメンバーには必要最低限のロールを付与してください。チームのロールをご覧ください。
  • APIキーとWebhookのシークレットはサーバー上で保管し、漏洩したおそれのあるキーは無効化してください。
  • 出金先アドレスは必ず再確認してください。暗号資産の送金は取り消せません。
  • 顧客への返金には返金リンクを使い、チャットからアドレスをコピーするのではなく、顧客自身にアドレスを入力してもらってください。

問題を報告する

アカウントや決済に問題があると気づいたら、[email protected]までご連絡ください。当社がパスワードや二段階認証のコードを尋ねることは決してありません。