Ho perso il blocco .env — e ora?
Rotazione, non recupero. La private key è stata mostrata UNA volta durante il wizard. Se non l'hai salvata, non puoi recuperarla — ma puoi sostituirla a basso costo.
Perché non possiamo rimostrarla
Il wizard genera la private key nel tuo BROWSER. Viene POSTata una volta al server Botely, cifrata subito con AES-256-GCM, e salvata come ciphertext. Il server non tiene il cleartext.
Anche Botely non può decifrarla per restituirtela (tecnicamente la master key del server potrebbe, ma vanificherebbe tutto il modello di sicurezza — deliberatamente non esponiamo un endpoint 're-show').
La procedura di rotazione
Vai in /app/settings → card 'Active agent wallet' → Revoke. Conferma nel dialog. Il DB marca la vecchia key come inattiva.
Clicca 'Approva agent wallet' di nuovo per rilanciare il wizard. Nuovo keypair, nuovo address agent, nuovo bundle cifrato nel DB di Botely. Nessun costo di gas on-chain — `approveAgent` è una firma EIP-712 off-chain sottoposta all'endpoint exchange di Hyperliquid.
Questa volta, SALVA IL BLOCCO .ENV prima di cliccare Done. La schermata di successo del wizard ha copy button; incolla in 1Password / Bitwarden / vault di tua scelta.
La vecchia key è ora innocua
Anche se non rimuovi mai l'agent wallet vecchio da on-chain (Phase 1.5 lo farà), il bot smette di usarlo appena aggiorni il .env con le nuove credenziali. La vecchia private key in mano a qualcuno potrebbe solo piazzare ordini ETH/SOL/BNB sub 0 — e solo se ha anche la API private key, che non ha a meno che tu non l'abbia accidentalmente fatta trapelare.
Se l'HAI accidentalmente fatta trapelare (es. in uno screenshot, in un commit git, in un paste Discord), revocala anche on-chain via `approveAgent con un agent fresco`. Meglio safe.