> ## Documentation Index > Fetch the complete documentation index at: https://docs.tori.finance/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Pages whose paths begin with /zh-Hans/, /ja/, /ko/, /vi/, /id/, /hi/, /pt-BR/ or /es/ are machine translations of the English pages, provided for convenience only. They may contain errors or omissions and have no legal effect, and where one differs from the English page, the English page prevails. For anything that will be relied on, read and cite the English page at the same path without the language prefix. # Perguntas frequentes sobre segurança > Respostas a perguntas frequentes sobre a segurança da Tori: auditorias e o bug bounty, atualizações, onde os ativos ficam, custódia e como verificar as reservas. ## Segurança dos smart contracts ### Os smart contracts foram auditados? **Sim.** Todos os smart contracts da Tori são auditados de forma independente pela [Sherlock](https://sherlock.xyz) e pela [Nethermind](https://www.nethermind.io/), duas empresas líderes em segurança de smart contracts. A Sherlock já auditou protocolos que protegem mais de **\$50 bilhões** em ativos no Web3. > **[Ver relatórios de auditoria](/pt-BR/security/audits.md)** > > Os dois relatórios na íntegra, com datas e achados ### Existe um programa de bug bounty? **Sim.** As recompensas aumentam conforme a gravidade, chegando a \$1.000.000 por uma descoberta crítica. A tabela completa de recompensas, o escopo e o processo estão na [página de auditorias](/pt-BR/security/audits.md#bug-bounty). Reporte vulnerabilidades para [security@tori.finance](mailto:security@tori.finance). ### Com que frequência os contratos são auditados? Os contratos passam por uma auditoria completa antes do deploy inicial, os componentes alterados são auditados novamente em atualizações importantes e novas funcionalidades são auditadas antes do lançamento. O bug bounty cobre tudo o que acontece entre uma auditoria e outra. ### Os contratos são atualizáveis? Sim, os contratos usam padrões de proxy atualizável para que correções de segurança possam ser lançadas. Um upgrade não pode acontecer sem que ninguém perceba: ele só é executado por meio do [timelock de 24 horas](/pt-BR/security/roles.md), enfileirado e executado pelo Safe 3 de 5, de modo que qualquer upgrade fica visível on-chain por um dia inteiro antes de entrar em vigor. *** ## Segurança dos ativos ### Onde os ativos ficam? Os ativos on-chain ficam em contratos auditados cujas operações privilegiadas exigem quórum de multisig. As reservas off-chain ficam com custodiantes institucionais previamente avaliados, em contas segregadas. A página [Lastro e reservas](/pt-BR/solution/backing.md) explica o panorama completo, e a [matriz de papéis](/pt-BR/security/roles.md) mostra exatamente quais chaves podem movimentar o quê. ### O trUSD/strUSD tem seguro? **Não.** O trUSD e o strUSD não são segurados por: * Qualquer agência governamental (como o FDIC) * Seguradoras privadas Isso é padrão para tokens DeFi. Use apenas valores adequados à sua tolerância a risco. Separadamente, a [Nexus Mutual](https://app.nexusmutual.io/cover/product/446) oferece cobertura de protocolo para o vault da Tori contra riscos de smart contract e de oráculo. Você pode contratá-la diretamente no app da Nexus Mutual. ### Quem são os custodiantes? Há dois arranjos distintos envolvidos: a custódia das reservas do protocolo e a custódia dos tokens que as instituições detêm. Não divulgamos quais custodiantes mantêm as reservas off-chain do protocolo. Os saldos de reserva mantidos com eles estão incluídos nas [verificações independentes da Accountable](https://tori.accountable.capital), e a garantia só pode ser movimentada para um endereço de custódia registrado on-chain por meio do [timelock de 24 horas](/pt-BR/security/roles.md). Todo custodiante e parceiro que usamos é licenciado e regulado, tem histórico consolidado em custódia, atende ao SOC 2 ou a padrões de segurança equivalentes e mantém os ativos em contas totalmente segregadas. Instituições podem manter trUSD e strUSD com a Anchorage Digital, a BitGo ou a Cactus Custody. As três oferecem suporte aos dois tokens, o que permite que uma instituição os mantenha com o custodiante que já usa. Trata-se da custódia dos tokens que pertencem a uma instituição, separada da custódia das reservas do protocolo. A página [Custódia institucional](/pt-BR/resources/institutional-custody.md) apresenta a entidade regulada de cada custodiante e o que confirmar antes de depositar. ### A equipe pode acessar os ativos do protocolo? Nenhuma pessoa sozinha pode. Toda função privilegiada fica protegida por um papel específico: operações críticas exigem quórum do Safe 3 de 5, transferências para custódia só podem ir para endereços pré-registrados via timelock, e cada chave operacional pode fazer exatamente uma tarefa. A [matriz de papéis](/pt-BR/security/roles.md) lista todos os papéis, detentores e funções, e tudo isso pode ser lido on-chain. *** ## Verificação e transparência ### Como posso verificar as reservas? **Três formas de verificar:** **1. Prova de reservas** Consulte as verificações independentes e em tempo real da Accountable em [tori.accountable.capital](https://tori.accountable.capital) **2. Dados on-chain** Confira os saldos dos smart contracts diretamente no Etherscan ([endereços dos contratos](/pt-BR/resources/contracts.md)) **3. Oferta de tokens** Compare a oferta total de trUSD com o lastro verificado ### Com que frequência as reservas são verificadas? **Continuamente.** A prova de reservas da Accountable é atualizada em tempo real, e não mensal ou trimestralmente, como nas finanças tradicionais. ### Onde posso ver a prova de reservas? | Fonte | Onde | | - | - | | **Accountable** | [tori.accountable.capital](https://tori.accountable.capital) | | **App da Tori** | [app.tori.finance/transparency](https://app.tori.finance/transparency) | | **Etherscan** | Saldos on-chain pela [página de contratos](/pt-BR/resources/contracts.md) | *** ## Monitoramento e resposta a incidentes ### Como o protocolo é monitorado? A **Hypernative** acompanha o protocolo ininterruptamente. Seus modelos sinalizam anomalias no momento em que ocorrem, de transações incomuns a endereços de atacantes conhecidos, alertam a equipe imediatamente e mantêm uma pontuação de risco do protocolo sempre atualizada. A detecção e a primeira resposta são automatizadas. ### O que acontece durante um incidente de segurança? Nosso processo de resposta a incidentes: **1. Detecção** O monitoramento automatizado foi projetado para identificar problemas imediatamente **2. Avaliação** Triagem rápida para entender a gravidade e o impacto potencial **3. Contenção** Medidas imediatas para limitar os danos (podem incluir a pausa das operações) **4. Comunicação** Atualizações pelos canais oficiais **5. Correção** Correção do problema de origem **6. Post-mortem** Análise e medidas preventivas ### O protocolo pode ser pausado? **Sim.** O mint e o resgate podem ser desativados em uma só transação pelo papel Controlador de Acesso, que existe justamente para que a contenção nunca dependa de um quórum de multisig. Os detalhes estão na [matriz de papéis](/pt-BR/security/roles.md). *** ## Como se proteger ### Como posso me manter seguro? > **Confira as URLs** > > Use somente [app.tori.finance](https://app.tori.finance). Salve nos favoritos para evitar sites de phishing. > **Confira os contratos** > > Confira os endereços na nossa [página de contratos](/pt-BR/resources/contracts.md) antes de interagir. > **Proteja sua carteira** > > Nunca compartilhe chaves privadas ou seed phrases com ninguém. Jamais. > **Mantenha a cautela** > > Desconfie de DMs, airdrops e mensagens de "suporte". ### Quais golpes comuns merecem atenção? | Tipo de golpe | Sinais de alerta | | - | - | | **Sites de phishing** | URL errada, pedidos da seed phrase | | **Suporte falso** | DMs em redes sociais de quem diz ser da Tori | | **Golpes de airdrop** | "Tokens grátis" que exigem conectar a carteira | | **Falsificação de identidade** | Contas que fingem ser membros da equipe Tori | ### O que a equipe da Tori nunca vai fazer? A equipe da Tori **nunca** vai: * Pedir sua seed phrase ou suas chaves privadas * Chamar você primeiro por DM nas redes sociais * Pedir que você envie tokens para "verificar" sua carteira * Oferecer condições exclusivas por DM * Pedir que você baixe software fora do app oficial ### Quais recursos de segurança devo usar? | Recomendação | Por quê | | - | - | | **Carteira de hardware** | A melhor segurança para valores maiores | | **Simulação de transações** | Veja o que vai acontecer antes de assinar | | **Lista de endereços permitidos** | Evite envios acidentais para endereços errados | | **MFA em exchanges** | Se você estiver transferindo a partir de exchanges centralizadas | *** ## Como reportar problemas ### Como reporto uma vulnerabilidade de segurança? **E-mail:** [security@tori.finance](mailto:security@tori.finance) **Inclua:** * Uma descrição clara da vulnerabilidade * Os passos para reproduzi-la * Uma prova de conceito (se aplicável) * Uma avaliação do impacto potencial > [!NOTE] > > **Divulgação responsável:** não divulgue publicamente vulnerabilidades antes que elas tenham sido tratadas. Nosso > objetivo é confirmar o recebimento dos relatos em até 24 horas. ### Como reporto um golpe ou uma tentativa de phishing? Envie um e-mail para [security@tori.finance](mailto:security@tori.finance) com: * Capturas de tela do golpe * As URLs envolvidas * Quaisquer outros detalhes relevantes Reportar nos ajuda a proteger a comunidade. ### Acho que minha carteira foi comprometida Se você suspeitar de atividade não autorizada: 1. **Pare**: não faça mais nenhuma transação 2. **Mova os ativos**: transfira os tokens restantes para uma carteira nova e segura 3. **Reporte**: abra um ticket no nosso [Discord](https://discord.gg/torifinance) para obter suporte 4. **Documente**: guarde os hashes das transações e capturas de tela *** ## Abordagem de segurança ### Como a Tori aborda a segurança? Nenhuma proteção é considerada suficiente por si só. As auditorias identificam problemas antes do deploy, o bug bounty paga pesquisadores para que continuem procurando depois, a Hypernative monitora a produção em tempo real, as multisigs e o timelock restringem cada chave privilegiada, e o fundo de reserva amortece condições adversas. A [visão geral de segurança](/pt-BR/security/overview.md) percorre cada camada. ### Quais são as limitações? Nenhum sistema pode garantir segurança perfeita. Somos transparentes quanto a isso: * Auditorias são avaliações pontuais * Novos vetores de ataque podem surgir * O DeFi é experimental por natureza É por isso que as proteções se sobrepõem, em vez de depender de uma medida isolada. Veja as informações completas na [Divulgação de riscos](/pt-BR/resources/risks.md). *** ## Mais dúvidas? Para assuntos de segurança: [security@tori.finance](mailto:security@tori.finance) Para suporte geral: entre no nosso [Discord](https://discord.gg/torifinance) > **[Visão geral de segurança](/pt-BR/security/overview.md)** > > Todas as camadas da estrutura, em um só lugar > **[Relatórios de auditoria](/pt-BR/security/audits.md)** > > Datas, PDFs e a tabela do bug bounty > **[Divulgação de riscos](/pt-BR/resources/risks.md)** > > Leia antes de depositar > **[Contratos](/pt-BR/resources/contracts.md)** > > Confira cada endereço no Etherscan > **[Código-fonte](https://github.com/Tori-Finance/tori-contracts)** > > Os contratos implantados no GitHub > [!NOTE] > > **Tradução automática:** esta página é uma tradução automática do original em inglês, fornecida apenas por conveniência. Ela pode conter erros ou omissões e não tem efeito jurídico. Se houver divergência entre esta página e a versão em inglês, prevalece a versão em inglês. Leia o [original em inglês](/faq/security.md) antes de se basear em qualquer informação desta página. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.