Безпека PolyMAXSecurity at PolyMAX

PolyMAX перебуває в Private Beta. Користувачам доступна лише паперова торгівля; торгівля реальними коштами ще не ввімкнена.

PolyMAX is in Private Beta. Users have access to paper trading only; real-money trading is not yet enabled.

PolyMAX — кастодіальний сервіс. Ми не називаємо його non-custodial, бо це не так.

• Для кожного рахунку користувача сервер PolyMAX генерує окремий EVM-гаманець. Паперовий і реальний рахунки мають окремі гаманці та окремий облік.
• Приватний ключ створюється на сервері PolyMAX і зберігається PolyMAX у зашифрованому вигляді.
• Технічно PolyMAX може підписувати транзакції та ордери цих гаманців без додаткових дій користувача — саме так працює автоматичне копіювання.
• Під час Private Beta користувач не може самостійно експортувати або відновити приватний ключ свого гаманця.
• Інтеграція з моделлю гаманців Polymarket (proxy-гаманець, привʼязаний до ключа, що підписує ордери) у розробці. Точну схему ми опублікуємо до ввімкнення реальних коштів.

PolyMAX is a custodial service. We do not describe it as non-custodial, because it is not.

• For every user account, the PolyMAX server generates a separate EVM wallet. Paper and real accounts have separate wallets and separate ledgers.
• The private key is created on PolyMAX's server and stored by PolyMAX in encrypted form.
• PolyMAX is technically able to sign transactions and orders for these wallets without further action from the user — this is how automated copying works.
• During the Private Beta, users cannot export or recover their wallet's private key themselves.
• Integration with Polymarket's wallet model (a proxy wallet tied to the key that signs orders) is in development. We will publish the exact flow before real-money trading is enabled.

• Приватні ключі шифруються AES-256-GCM (автентифіковане шифрування).
• Для кожного ключа — власний випадковий data key і salt; ключ шифрування виводиться через HKDF-SHA256. Сам data key зберігається лише зашифрованим ключем шифрування ключів (key-encryption key).
• Незашифровані приватні ключі не записуються ні на диск, ні в логи.

• Private keys are encrypted with AES-256-GCM (authenticated encryption).
• Each key has its own random data key and salt; the encryption key is derived with HKDF-SHA256. The data key itself is stored only in encrypted form, wrapped by a key-encryption key.
• Plaintext private keys are never written to disk or to logs.

• У поточній архітектурі кожен рахунок має власну адресу гаманця. PolyMAX не обʼєднує кошти користувачів на спільному гаманці.
• Баланс, позиції та історія угод ведуться окремо для кожного користувача, а паперовий і реальний облік повністю розділені: демо-кошти не можуть потрапити на реальний рахунок.
• Автоматична звірка облікових балансів із балансами в блокчейні — заплановано до запуску реальних коштів.

• In the current architecture every account has its own wallet address. PolyMAX does not pool user funds in a shared wallet.
• Balances, positions and trade history are tracked separately for each user, and the paper and real ledgers are fully separated: demo funds cannot reach a real account.
• Automated reconciliation of ledger balances against on-chain balances is planned before real-money trading launches.

• Запити Mini App автентифікуються підписаними даними Telegram (initData), підпис перевіряється на сервері. Окремих паролів немає.
• Службові облікові дані (токен Telegram-бота, ключі RPC-провайдерів) зберігаються як серверні секрети й ніколи не передаються в браузер чи Mini App.
• API-облікові дані CLOB Polymarket зараз не створюються й не зберігаються, бо live-торгівля не ввімкнена. Коли інтеграцію буде завершено, вони зберігатимуться зашифрованими з тим самим захистом, що й ключі гаманців. Заплановано
• Керування стратегіями та обробка виводів доступні лише невеликій групі адміністраторів, яких призначає власник проєкту.

• Mini App requests are authenticated with Telegram's signed initData, and the signature is verified on the server. There are no separate passwords.
• Service credentials (the Telegram bot token, RPC provider keys) are kept as server-side secrets and are never sent to the browser or the Mini App.
• Polymarket CLOB API credentials are not currently created or stored, because live trading is not enabled. Once the integration is complete, they will be stored encrypted with the same protection as wallet keys. Planned
• Strategy management and withdrawal processing are restricted to a small group of administrators appointed by the project owner.

• Основний і резервний RPC-провайдери для мережі Polygon; таймаути, повтори з експоненційним backoff, circuit breaker, що тимчасово виводить з ротації провайдера, який збоїть, і автоматичне перемикання на резервний.
• Угоди трейдерів надходять через WebSocket-підписку; якщо вона обривається, бот переходить на опитування й дочитує пропущені блоки. Data API Polymarket — додаткове резервне джерело.
• Стан сервісу регулярно зберігається на диск, щоб перезапуск не втрачав рахунки й позиції.

• Primary and fallback RPC providers for Polygon; timeouts, retries with exponential backoff, a circuit breaker that temporarily removes a failing provider from rotation, and automatic failover to the backup.
• Trader activity arrives through a WebSocket subscription; if it drops, the bot switches to polling and backfills the missed blocks. The Polymarket Data API is an additional backup source.
• Service state is persisted to disk regularly, so a restart does not lose accounts or positions.

1. Користувач створює заявку в Mini App: мережа, адреса, сума.
2. Сума одразу резервується на балансі, щоб її не можна було використати для нових угод.
3. Паперовий рахунок: демо-кошти просто списуються.
4. Реальний рахунок (коли його буде ввімкнено): заявку отримують адміністратори, перевіряють і виконують переказ вручну. Якщо заявку відхилено, кошти повертаються на баланс, а користувач отримує сповіщення.

PolyMAX зараз не бере комісії за вивід; мережеві комісії блокчейну можуть застосовуватись. Журнал дій адміністраторів і підтвердження виводу двома особами — заплановано.

1. The user submits a request in the Mini App: network, address and amount.
2. The amount is reserved on the balance immediately, so it cannot be used for new trades.
3. Paper account: demo funds are simply deducted.
4. Real account (once enabled): administrators receive the request, review it and execute the transfer manually. If a request is declined, the funds return to the balance and the user is notified.

PolyMAX currently charges no withdrawal fee; blockchain network fees may apply. An administrator audit log and two-person approval for withdrawals are planned.

• Ми не логуємо приватні ключі, паролі та API-секрети.
• Адреси RPC-провайдерів (які можуть містити API-ключ) у логах замінюються назвою провайдера.
• Сервер застосунку не записує IP-адреси й user agent запитів Mini App.

• We do not log private keys, passwords or API secrets.
• RPC provider URLs (which can contain an API key) are replaced with the provider name in logs.
• The application server does not record IP addresses or user agents of Mini App requests.

Торгівля реальними коштами не буде ввімкнена, доки ми не завершимо:

• перехід ключів гаманців на керований KMS;
• інтеграцію з CLOB і моделлю гаманців Polymarket та її тестування;
• серверну фіксацію згоди з ризиками й підтвердження географічної прийнятності, а також технічні обмеження доступу;
• звірку облікових балансів із блокчейном;
• журнал дій адміністраторів і підтвердження виводу двома особами;
• публікацію остаточних комісій.

Real-money trading will not be enabled until we have completed:

• moving wallet keys to a managed KMS;
• the integration with the Polymarket CLOB and wallet model, including testing;
• server-side recording of risk consent and geographic eligibility confirmation, plus technical access controls;
• reconciliation of ledger balances against the blockchain;
• an administrator audit log and two-person approval for withdrawals;
• publication of the final fee schedule.

Знайшли вразливість? Напишіть на info@polymax.pro з темою «Security»: опис, кроки відтворення й можливий вплив. Ми підтвердимо отримання й триматимемо вас у курсі.

Будь ласка, не отримуйте доступ до даних чи коштів інших користувачів, не порушуйте роботу сервісу й не використовуйте соціальну інженерію. Програми винагород (bug bounty) наразі немає.

Found a vulnerability? Email info@polymax.pro with the subject “Security”: a description, reproduction steps and the potential impact. We will acknowledge receipt and keep you informed.

Please do not access other users' data or funds, disrupt the service, or use social engineering. There is currently no bug bounty programme.