SegurançaSecurity

O jogo não guarda senhas: você entra assinando uma mensagem com a sua carteira. Isso elimina o vazamento de senhas, mas coloca a segurança da carteira nas suas mãos. Esta página reúne o que vale saber.

A regra principal

As suas 12 palavras (frase de recuperação) e a sua chave privada dão controle total da carteira. Ninguém da TSTU-Brasil vai pedi-las, nem por mensagem, nem por e-mail, nem no Discord, nem em um formulário. Qualquer pedido assim é golpe.

Como reconhecer um golpe

• Endereço errado. Confira o endereço do site antes de conectar a carteira. Golpistas copiam a aparência de sites conhecidos com endereços parecidos.
• Pedido de assinatura que você não iniciou. Entrar no jogo pede só a assinatura de uma mensagem de texto, que não move nada da sua carteira. Desconfie de pedidos de aprovação de tokens, de “setApprovalForAll” ou de transferências que você não pediu.
• Mensagens de “suporte” que chegam primeiro. A equipe não procura jogadores em mensagem privada oferecendo ajuda, prêmios ou recuperação de conta.
• Urgência. “Sua conta será bloqueada em 10 minutos” e “prêmio só hoje” são técnicas de pressão.
• Promessas de itens grátis ou de lucro. Os itens não são investimento, e ninguém distribui itens raros em troca de uma conexão de carteira.

5 maneiras de evitar o vazamento

1. Nunca digite as 12 palavras em um site. Elas só são usadas para restaurar a carteira dentro da própria extensão ou aplicativo da carteira. Nenhum jogo, suporte ou “verificação de conta” precisa delas. Se uma página pedir, feche.
2. Não guarde as 12 palavras em formato digital. Nada de foto, print, bloco de notas, e-mail, nuvem ou mensagem para si mesmo. Escreva em papel e guarde em local seguro, longe do computador. Arquivos digitais podem ser lidos por vírus e por quem acessar as suas contas.
3. Use uma carteira só para jogar. Deixe nela apenas o necessário para o jogo e mantenha os seus fundos principais em outra carteira. Se a carteira do jogo for exposta, o prejuízo fica limitado.
4. Leia o que a carteira pede antes de confirmar. Entrar no jogo é só assinar uma mensagem de texto. Aprovação de tokens, “setApprovalForAll” ou uma transferência que você não iniciou podem esvaziar a carteira sem que ninguém precise das suas 12 palavras. Na dúvida, recuse.
5. Mantenha o computador e a carteira limpos. Instale a extensão da carteira só pela loja oficial, mantenha navegador e sistema atualizados, não instale programas piratas ou “hacks” de jogos e revogue de tempos em tempos as permissões que você não usa mais.

Se algo deu errado

1. Se acha que a sua frase de recuperação foi exposta, crie uma carteira nova e transfira para ela o que tiver valor. Uma carteira exposta não volta a ser segura.
2. Revogue as permissões da carteira antiga.
3. Avise a equipe pelos canais oficiais, informando o número do seu jogador. Podemos bloquear ações no jogo e na Comunidade para limitar o dano, mas não temos como desfazer transações na blockchain.

Encontrou uma falha de segurança?

Se você encontrou uma vulnerabilidade no site, no servidor ou nos contratos, conte para a gente antes de divulgar. Envie pelos canais oficiais a descrição do problema, os passos para reproduzi-lo e o impacto que você acredita que ele tem.

Pedimos que você:

• não acesse, altere ou apague dados de outros jogadores;
• não prejudique o funcionamento do jogo nem faça ataques de negação de serviço;
• dê um prazo razoável para a correção antes de tornar a falha pública.

Quem reportar de boa-fé, seguindo essas regras, não será punido pelo teste. Relatos relevantes podem ser recompensados no jogo.

The game stores no passwords: you sign in by signing a message with your wallet. Your wallet's security is in your hands.

The main rule

Your 12-word recovery phrase and private key give full control of your wallet. No one from TSTU-Brasil will ever ask for them. Anyone who does is a scammer.

Spotting scams

• Check the site address before connecting your wallet.
• Signing in only asks you to sign a text message, which moves nothing. Be wary of token approvals, “setApprovalForAll” or transfers you did not start.
• The team does not message players first offering help, prizes or account recovery.
• Urgency and promises of free items or profit are pressure tactics.

5 ways to prevent a leak

1. Never type your 12 words into a website. They are only used to restore the wallet inside the wallet app itself.
2. Do not store them digitally. No photos, screenshots, notes, email or cloud. Write them on paper and keep it safe.
3. Use a separate wallet for playing, holding only what the game needs.
4. Read what your wallet asks before confirming. Signing in is only a text signature; approvals or transfers you did not start can drain a wallet.
5. Keep your computer and wallet clean. Official stores only, updated software, no pirated programs or game hacks, and revoke unused approvals.

Found a security flaw?

Report it through the official channels before disclosing it, with steps to reproduce and the expected impact. Do not access other players' data or disrupt the service, and allow reasonable time for a fix. Good-faith reporters will not be penalized, and relevant reports may be rewarded in game.

El juego no guarda contraseñas: entras firmando un mensaje con tu billetera. Eso elimina las filtraciones de contraseñas, pero pone la seguridad de la billetera en tus manos. Esta página reúne lo que conviene saber.

La regla principal

Tus 12 palabras (frase de recuperación) y tu clave privada dan control total de la billetera. Nadie de TSTU-Brasil te las va a pedir, ni por mensaje, ni por correo, ni en Discord, ni en un formulario. Cualquier pedido así es una estafa.

Cómo reconocer una estafa

• Dirección equivocada. Revisa la dirección del sitio antes de conectar la billetera. Los estafadores copian la apariencia de sitios conocidos con direcciones parecidas.
• Pedidos de firma que no iniciaste. Entrar al juego solo pide firmar un mensaje de texto, que no mueve nada de tu billetera. Desconfía de aprobaciones de tokens, de “setApprovalForAll” o de transferencias que no pediste.
• Mensajes de “soporte” que llegan primero. El equipo no busca a los jugadores por mensaje privado ofreciendo ayuda, premios o recuperación de cuenta.
• Urgencia. “Tu cuenta será bloqueada en 10 minutos” y “premio solo por hoy” son técnicas de presión.
• Promesas de ítems gratis o de ganancias. Los ítems no son una inversión, y nadie regala ítems raros a cambio de conectar la billetera.

5 formas de evitar una filtración

1. Nunca escribas tus 12 palabras en un sitio web. Solo se usan para restaurar la billetera dentro de la propia extensión o aplicación de la billetera. Ningún juego, soporte ni “verificación de cuenta” las necesita. Si una página las pide, ciérrala.
2. No guardes tus 12 palabras en formato digital. Nada de fotos, capturas, bloc de notas, correo, nube ni mensajes a ti mismo. Escríbelas en papel y guárdalas en un lugar seguro, lejos de la computadora. Los archivos digitales pueden ser leídos por virus y por quien acceda a tus cuentas.
3. Usa una billetera solo para jugar. Deja en ella solo lo necesario para el juego y mantén tus fondos principales en otra billetera. Si la billetera del juego queda expuesta, el daño es limitado.
4. Lee lo que pide la billetera antes de confirmar. Entrar al juego es solo firmar un mensaje de texto. Una aprobación de tokens, un “setApprovalForAll” o una transferencia que no iniciaste pueden vaciar la billetera sin que nadie necesite tus 12 palabras. Ante la duda, rechaza.
5. Mantén limpias la computadora y la billetera. Instala la extensión de la billetera solo desde la tienda oficial, mantén el navegador y el sistema actualizados, no instales programas piratas ni “hacks” de juegos y revoca de vez en cuando los permisos que ya no usas.

Si algo salió mal

1. Si crees que tu frase de recuperación quedó expuesta, crea una billetera nueva y transfiere a ella lo que tenga valor. Una billetera expuesta no vuelve a ser segura.
2. Revoca los permisos de la billetera antigua.
3. Avisa al equipo por los canales oficiales, indicando tu número de jugador. Podemos bloquear acciones en el juego y en la Comunidad para limitar el daño, pero no podemos deshacer transacciones en la blockchain.

¿Encontraste una falla de seguridad?

Si encontraste una vulnerabilidad en el sitio, en el servidor o en los contratos, cuéntanos antes de divulgarla. Envía por los canales oficiales la descripción del problema, los pasos para reproducirlo y el impacto que crees que tiene.

Te pedimos que:

• no accedas, modifiques ni borres datos de otros jugadores;
• no perjudiques el funcionamiento del juego ni hagas ataques de denegación de servicio;
• des un plazo razonable para la corrección antes de hacer pública la falla.

Quien reporte de buena fe, siguiendo estas reglas, no será sancionado por la prueba. Los reportes relevantes pueden recibir recompensas en el juego.