02 أين توجد الأموال
ليست لدينا.
هذه أهم نقطة في هذه الصفحة، وأكثر ما يُساء فهمه في القطاع.
الفصل
تُحفظ أرصدة العملاء في حسابات فصل منفصلة لدى مؤسسة النقود الإلكترونية المُصدِرة، مستقلة عن أموالنا الخاصة. ولو أوقفت BuyVirtualCards نشاطها غدًا لما كانت تلك الأموال جزءًا من أصولنا: لبقيت لكم.
لا نحتفظ بأصولك المشفّرة
يُحوَّل الشحن عند التحصيل. لا توجد محفظة لـ BuyVirtualCards تنام فيها بيتكوينات العملاء، وبالتالي لا يوجد تجمّع أموال يمكن سرقته. وأفضل وسيلة لئلّا يُسرق كنز هي ألّا تُكوّنه أصلًا.
لا انكشاف على السوق
رصيدك مقوَّم بالنقود الإلكترونية. انخفاض البيتكوين بعد شحنك لا يمسّه. وبالمقابل لا يفيدك ارتفاعه: ليس هذا منتجًا استثماريًا، ولا ندّعي خلاف ذلك.
03 حسابك
عامل ثانٍ إلزامي
تطبيق مصادقة (TOTP) أو مفتاح أمان مادي (WebAuthn). ولا تُقدَّم الرسائل النصية عاملًا وحيدًا: فاختطاف شريحة الهاتف أشيع من أن ندّعي خلاف ذلك.
كلمات مرور مُجزَّأة بـ scrypt
معايير مطابقة لتوصيات OWASP، وملح عشوائي لكل حساب، ومقارنة بزمن ثابت. لا نستطيع قراءة كلمة مرورك، ولا يستطيع ذلك أحد لدينا.
جلسات موقَّعة
ملف تعريف ارتباط HttpOnly، وSameSite=Lax، وSecure في الإنتاج، موقَّع بـ HMAC-SHA256. لا يصل إليه جافاسكربت الصفحة، وبالتالي هو بمنأى عن حقن البرمجيات.
تنبيهات على العمليات الحسّاسة
الدخول من جهاز غير معروف، أو تغيير كلمة المرور، أو إضافة حساب مصرفي: كل حدث يُطلق رسالة بريدية تتضمّن رابط حظر فوري.
04 بيانات البطاقة
لا نخزّن رقمك.
الرقم الكامل وتاريخ الانتهاء ورمز الأمان بحوزة المؤسسة المُصدِرة، في بيئتها المعتمدة وفق PCI-DSS. وحين تعرضها في منطقة العميل تُجلب لحظيًا وتُعرض في إطار معزول: فهي لا تمرّ أبدًا بخوادم تطبيقاتنا ولا تُكتب أبدًا في سجلّاتنا.
ما نحتفظ به: آخر أربعة أرقام، والشبكة، وتاريخ الانتهاء، وحالة البطاقة. يكفي لعرضها في قائمة، ولا يكفي للدفع بها.
ما يراه كل طرف
- BuyVirtualCards
- الرصيد، سجل العمليات، آخر أربعة أرقام من كل بطاقة.
- المؤسسة المُصدِرة
- بيانات البطاقة كاملة، في بيئة PCI-DSS. وهذه مهنتها ومسؤوليتها التنظيمية.
- مزوّد الدفع
- مبلغ الفاتورة وعنوان الإيداع. لا بيانات بطاقة ولا وصول إلى رصيدك.
- التاجر
- ما تنقله إليه أي بطاقة عند الدفع. وفي بطاقة لمرة واحدة: رقم لن يعمل مرتين أبدًا.
05 الإبلاغ عن ثغرة
الإفصاح المسؤول
إن وجدت ثغرة فاكتب إلى [email protected]. نُشعِر بالاستلام خلال 48 ساعة ونُبقي الباحث على اطّلاع حتى الإصلاح. ولا نلاحق من يحترم الإطار المجاور. ونرجو منحنا 90 يومًا قبل أي نشر.
الإطار
- اختبر على حساباتك وحدها
- لا هجمات حجب الخدمة
- لا وصول إلى بيانات الغير ولا تسريبها
- لا هندسة اجتماعية تستهدف فرقنا أو عملاءنا
- توقّف فور تأكّد الثغرة، وأبلغ عنها
06 الارتياب، ومنّا نحن أيضًا
كيف تتعرّف على عملية احتيال.
يجذب قطاع «من الكريبتو إلى البطاقة» كثيرًا من المحتالين. وهذه هي الإشارات التي ينبغي أن تدفعك إلى الانصراف — طبّقها علينا أيضًا.
لا يستطيع أحد إصدار بطاقة باسم مصرف ليس وكيلًا عنه. الموقع الذي يعرض «توليد» بطاقة Revolut أو BNP Paribas أو Bank of America عند الطلب يكذب بشأن ما يبيعه. ستدفع بالعملات المشفّرة، دون سبيل للرجوع، ولن تتلقّى شيئًا قابلًا للاستعمال.
خدمة الدفع الجادّة تذكر اسم المؤسسة التي تصدر بطاقاتها وتنشر رقم ترخيصها. وإن تعذّر العثور على هذه المعلومة فذلك يعني أنه لا مؤسسة خلفها.
عدّادات عملاء ترتفع من تلقاء نفسها، ومراجعات مادحة نُشرت كلها في الأسبوع نفسه، وشعارات صحافية بلا مقالات مقابلة، و«منذ 2018» على نطاق سُجّل قبل ثلاثة أشهر. تُصنع هذه الإشارات في ساعة ولا تخدم إلا استعارة ثقة لم تُكتسب. تحقّق من عمر النطاق عبر whois.
لن نتواصل معك أولًا عبر Telegram أو WhatsApp أو Discord أبدًا، ولن نطلب منك كلمة مرورك أو رمزك لمرة واحدة أو دفعة لـ«فكّ» حسابك. وأي طلب من هذا النوع محاولة احتيال، أيًّا كان الاسم الذي يظهره المرسِل.