Sobre segurança da informação:
No meu projeto a
@hodle_app, esse é o ponto que eu mais foco, alguma das coisas que fiz que pode mitigar casos extremos:
1 - Carteiras autocustodiais, você consegue receber pix e receber uma stable real ou outras em uma carteira sua, caso escolha manter na hodle (inclusive não recomendo), o backend não tem o conhecimento dessa carteira, se você fez backup certinho você consegue recuperar em qualquer lugar.
2 - Não é salvo nenhum dado de cliente, informações de KYC por exemplo são diretamente mandadas para os parceiros regulados responsáveis
3 - Em um caso extremo da sua API key vazar, o atacante só conseguiria mover seus fundos autocustodiais se ele souber o pin que cada wallet tem, 3 retries e bloqueia temporariamente.
4 - Se você usasse a plataforma apenas recebendo IN para carteiras externas e pagamentos pix out a partir de uma carteira externa, o único risco seria você fazer alguma merda com a sua wallet.
Muita coisa a ser feita ainda e ainda não tá nem longe do ideal, por isso não sairá do BETA até ter um nível de segurança que julgo decente