Por dentro da infraestrutura de segurança enterprise-grade da Alchemy

Quando empresas avaliam provedores de infraestrutura blockchain, a segurança é fundamental para o processo de decisão. Seja você um serviço financeiro explorando integração com blockchain, uma empresa da Fortune 500 construindo capacidades de ativos digitais, ou uma empresa nativa de web3 escalando para o nível enterprise, a segurança é crítica para o sucesso do seu negócio e uma responsabilidade inegociável com os clientes.

Na Alchemy, entendemos esses requisitos profundamente. Nosso time de segurança é formado por profissionais que já atuaram nos ambientes mais exigentes do mundo: grandes bancos, instituições financeiras regulamentadas, grandes provedores de nuvem, agências federais e empresas líderes em segurança. Desenhamos nosso programa de segurança para atender aos padrões exigidos por times de compliance corporativo, entregando ao mesmo tempo a performance e a confiabilidade que aplicações blockchain exigem.

A seguir, um detalhamento de como abordamos os desafios de segurança que mais importam.

Nossa base de segurança

A organização de segurança da Alchemy reúne três capacidades centrais, essenciais para infraestrutura de nível enterprise:

• Expertise em gestão de risco de serviços financeiros, de times que já trabalharam com instituições regulamentadas e seus auditores
• Experiência em operações de escala enterprise, protegendo infraestrutura de alta disponibilidade que processa bilhões de requisições
• Capacidades abrangentes de defesa contra ameaças, cobrindo detecção, resposta e melhoria contínua

Essa combinação nos permite entregar segurança de infraestrutura que atende aos requisitos de compliance corporativo, ao mesmo tempo em que sustenta as necessidades de performance das aplicações blockchain modernas.

Por que organizações enterprise escolhem a Alchemy

Segurança de nível enterprise não se resume a uma única ferramenta ou certificação. É sobre ter pessoas experientes, processos comprovados e sistemas testados sob pressão, trabalhando em conjunto.

Atendemos seus requisitos de compliance:

• Certificação SOC 2 Type II
• Trust Center público com a documentação que seus auditores precisam
• Controles desenhados para revisões de segurança corporativa
• Evidências e trilhas de auditoria prontas para exame

Entregamos a performance que a web3 exige:

• 99,99% de uptime durante condições extremas de mercado
• Performance testada em escala enterprise para times como Kinexys by J.P. Morgan, Polymarket, e outros
• Suporte para mais de 100 redes blockchain
• Infraestrutura global com failover automático

Cenários reais que lidamos

Um provedor de infraestrutura crítica de terceiros cai

O desafio: Quando a Cloudflare enfrentou interrupções em outubro de 2025, muitos serviços caíram. Organizações construídas sobre arquiteturas de provedor único não tinham alternativa—quando o provedor caía, elas caíam junto.

Por que isso importa: Desenhamos nossa arquitetura para resiliência multi-provedor desde a base. Nossa infraestrutura abrange múltiplos provedores de nuvem com failover automático, então seu serviço permanece online mesmo quando dependências importantes enfrentam problemas.

Ataque DDoS em nível de aplicação

A ameaça: Atacantes tentaram inundar nosso tier gratuito com cadastros falsos em um evento real de DDoS em nível de aplicação.

Nossa resposta:

• Declaramos um incidente e acionamos nosso time de resposta on-call
• Limitamos e bloqueamos regiões e redes abusivas
• Separamos usuários legítimos de contas fraudulentas em tempo real
• Identificamos e removemos todas as contas vinculadas a IPs maliciosos

O resultado: Os clientes permaneceram online, e o ataque se tornou um teste que passamos—não uma interrupção.

Ator estatal visando nossa infraestrutura

A ameaça: Recentemente, fomos alvo de uma campanha ligada à Coreia do Norte durante a operação ClickFix/ClickFake. Pelo menos 15 contas falsas no LinkedIn se passando por funcionários da Alchemy foram identificadas como parte de um ataque coordenado em múltiplas frentes.

Nossa resposta: Nosso time de segurança obteve acesso a um servidor de comando e controle (C2) ativo, baixou o malware e o analisou minuciosamente—transformando uma tentativa de comprometimento em inteligência acionável. Ao fazer engenharia reversa do malware, nossa análise revelou domínios C2 patrocinados por estado, TTPs e IOCs não públicos e até então desconhecidos.

Por que isso importa: Nossas capacidades nos permitem criar nossa própria inteligência de ameaças customizada, sem depender apenas de indicadores conhecidos. Não apenas nos defendemos—desenvolvemos inteligência que nos mantém à frente de ameaças em evolução.

Laptop com chaves de deploy é roubado

Cenário hipotético: Um laptop contendo credenciais de deploy é perdido ou roubado—um risco para o qual toda organização precisa estar preparada.

Nossos controles em vigor:

• Quem pode fazer deploy: Apenas funções com escopo rigidamente restrito têm acesso às chaves de deploy; o acesso é registrado, revisado e fácil de revogar.
• O que fica nos laptops: Restringimos o que pode residir nos endpoints e monitoramos dados sensíveis com DLP.

Como responderíamos:

• O EDR nos permite isolar o dispositivo da rede instantaneamente para realizar forense
• O MDM nos permite bloquear e apagar remotamente
• Podemos revogar sessões e rotacionar chaves vinculadas a esse usuário
• Os laptops são criptografados
• Controles de zero trust garantem a postura do dispositivo e os requisitos de rede

A diferença: Com a Alchemy, você tem isso por padrão—dispositivos protegidos, acesso controlado e uma resposta a incidentes já praticada. Na maioria das configurações feitas internamente ou legadas, muitas vezes você está apenas supondo quem tem quais chaves em qual laptop.

Tentativa de phishing em conta do GitHub

Nossa defesa:

• Primeira camada: Educação contínua dos funcionários e monitoramento de logins suspeitos. Essa é nossa maior linha de defesa.
• Segunda camada: SSO habilitado para todas as contas do GitHub através do Okta, o que significa que nossa infraestrutura de SSO precisaria ser comprometida para que contas do GitHub específicas da Alchemy sofressem phishing—adicionando uma camada crítica de proteção.

Revise nosso programa de segurança

Convidamos os times de segurança e compliance corporativos a revisar nosso programa de segurança em detalhe:

Visite nosso Trust Center e revise nossos controles de segurança e documentação de compliance.

Entre em contato conosco sobre requisitos de segurança específicos, necessidades de compliance, considerações regulatórias ou arquitetura técnica.

Perguntas frequentes

Quais certificações de segurança a Alchemy possui?

A Alchemy possui certificação SOC 2 Type II, com um Trust Center público que fornece documentação, controles, evidências e trilhas de auditoria desenhados para revisões de segurança corporativa.

Como a Alchemy alcança alto uptime para aplicações blockchain?

Entregamos 99,99% de uptime durante condições extremas de mercado por meio de infraestrutura global com failover automático entre múltiplos provedores de nuvem, garantindo continuidade do serviço mesmo quando dependências importantes enfrentam problemas.

Quais controles de acesso a Alchemy implementa?

Usamos Single Sign-On (SSO) através do Okta com Role-Based Access Control (RBAC), garantindo acesso rigidamente delimitado, registrado, revisado e facilmente revogável.

Como a Alchemy respondeu ao recente ataque de ator estatal?

Durante uma campanha ClickFix/ClickFake ligada à Coreia do Norte, o time de segurança da Alchemy obteve acesso a um servidor de comando e controle ativo, baixou e fez engenharia reversa do malware, e descobriu domínios C2 patrocinados por estado, TTPs e IOCs até então desconhecidos.

Quais proteções a Alchemy possui contra roubo ou perda de laptops?

Usamos laptops criptografados com endpoint detection and response (EDR) para isolamento instantâneo de rede, mobile device management (MDM) para bloqueio e limpeza remotos, controles de zero trust e acesso a chaves de deploy rigidamente delimitado que pode ser revogado instantaneamente.

Como a Alchemy lida com ataques DDoS?

Em um ataque DDoS real em nível de aplicação no tier gratuito, o time da Alchemy declarou um incidente, limitou e bloqueou regiões e redes abusivas, separou usuários legítimos de contas fraudulentas em tempo real e removeu todas as contas maliciosas, mantendo os clientes online durante todo o processo.

O que torna o time de segurança da Alchemy qualificado para requisitos enterprise?

O time de segurança da Alchemy é composto por profissionais com experiência em grandes bancos, instituições financeiras regulamentadas, grandes provedores de nuvem, agências federais e empresas líderes em segurança, combinando gestão de risco de serviços financeiros, operações em escala enterprise e capacidades abrangentes de defesa contra ameaças.

Como a Alchemy se protege contra tentativas de phishing no GitHub?

A Alchemy exige SSO para todas as contas do GitHub através do Okta, o que significa que a infraestrutura de SSO precisaria ser comprometida para que contas do GitHub sofressem phishing, além de educação contínua dos funcionários e monitoramento de logins suspeitos como principal camada de defesa.