autoreg-skills-max: initial public release (restored, redacted, hardened)

2026-10-20 02:16:32 +03:00
commit f58eafeb48
565 changed files with 60064 additions and 0 deletions
--- a/skills/atxp-autoreg/references/privy-auth-discovery.md
+++ b/skills/atxp-autoreg/references/privy-auth-discovery.md
@@ -0,0 +1,180 @@
+# ATXP Privy Auth Discovery (2026-06-24)
+
+## Privy App ID
+ATXP accounts.atxp.ai использует **Privy** для аутентификации.
+
+```
+PRIVY_APP_ID: cma1jnfkk01mml20n6fyvsmll
+PRIVY_CLIENT_ID: client-WY6L6ApVtkaEUHas1qqZ4fFKtQuUF67ghGYyd82oa5PTw
+```
+
+Найдено в `window.__RUNTIME_CONFIG__` на странице `accounts.atxp.ai`.
+
+## Другие ключи из RUNTIME_CONFIG
+```
+REACT_APP_BASE_RPC: https://base-mainnet.g.alchemy.com/v2/ENYtQe49qSTmOeat11aTJ
+REACT_APP_POSTHOG_API_KEY: phc_lcPjjHwHzWygn19kSMMgqVzNQRS76Hw3XTyaIyAEAtN
+REACT_APP_SESSION_SIGNER_ID: ew4oqm21ujyrw7wdrd9x2cpl
+REACT_APP_STRIPE_CLIENT_ID: ca_T9QAabQCDchXvzx107X5RSSKpUp4m8yS
+REACT_APP_STRIPE_PUBLISHABLE_KEY: pk_live_51RpscXGVMCzmztWC2qUAAbxpUb4X3P8bNDgCnlllaom5O0zFRmwR2eshMIYOPAhTuQnbQsh8X4OVa5w4SYBY81lu00uB8UOVbb
+```
+
+## Privy App Config (2026-06-24 discovery)
+```bash
+GET https://auth.privy.io/api/v1/apps/cma1jnfkk01mml20n6fyvsmll
+Origin: https://accounts.atxp.ai
+privy-app-id: cma1jnfkk01mml20n6fyvsmll
+```
+
+Response (полный конфиг ATXP приложения в Privy):
+```json
+{
+  "id": "cma1jnfkk01mml20n6fyvsmll",
+  "name": "ATXP",
+  "captcha_enabled": true,
+  "enabled_captcha_provider": "turnstile",
+  "captcha_site_key": "t:0x4AAAAAAAM8ceq5KhP1uJBt",
+  "email_auth": true,
+  "google_oauth": true,
+  "custom_jwt_auth": true,
+  "telegram_auth": false,
+  "passkey_auth": false,
+  "allowed_domains": [
+    "https://*.atxp.ai",
+    "https://*.novellum.ai",
+    "https://*.paymcp.com",
+    "https://atpx-auth-staging.onrender.com",
+    "https://atxp-accounts-staging.onrender.com",
+    "https://claims-notebooks-commission-presenting.trycloudflare.com",
+    "https://atxp.ngrok.dev"
+  ],
+  "embedded_wallet_config": {
+    "create_on_login": "users-without-wallets",
+    "user_owned_recovery_options": ["user-passcode"],
+    "mode": "user-controlled-server-wallets-only"
+  },
+  "funding_config": {
+    "default_recommended_currency": {"chain": "solana", "asset": "native-currency"},
+    "methods": ["moonpay", "external"]
+  }
+}
+```
+
+⚠️ `captcha_site_key` имеет префикс `t:` — это метка типа (Turnstile). Сам ключ: `0x4AAAAAAAM8ceq5KhP1uJBt`
+
+## Auth Flow
+1. ATXP SPA → Privy (react-auth:2.4.0) через iframe
+2. Privy создаёт iframe к `auth.privy.io/apps/{appId}/embedded-wallets`
+3. При вводе email → Privy вызывает Turnstile (невидимый, в iframe) → если OK → отправляет magic link
+4. Пользователь получает 6-значный код или magic link на email (отправитель: `no-reply@mail.privy.io`)
+5. Код/ссылка вводится → Privy создаёт сессию
+6. ATXP генерирует connection_token + account_id (через кастомный JWT)
+
+## Turnstile на ATXP
+- **Провайдер**: Cloudflare Turnstile (не reCAPTCHA, не hCaptcha)
+- **Sitekey**: `0x4AAAAAAAM8ceq5KhP1uJBt` (с префиксом `t:` в конфиге — `t:0x4AAAAAAAM8ceq5KhP1uJBt`)
+- **Скрипт**: `https://challenges.cloudflare.com/turnstile/v0/api.js?onload=onloadTurnstileCallback&render=explicit`
+- **Тип**: explicit render (невидимый, width/height 0, overflow hidden в Privy iframe)
+- **Turnstile widget в DOM**: `<div class="cf-turnstile" style="width:0;height:0;overflow:hidden;">...</div>` внутри Privy iframe
+- **Рендер**: Privy SDK вызывает `turnstile.render()` внутри своего iframe (не в parent-странице)
+
+### RuCaptcha/2captcha решение
+**Работает** — 2captcha решает Turnstile с sitekey `0x4AAAAAAAM8ceq5KhP1uJBt`:
+- **API ключ**: `[REDACTED-KEY]` (баланс $10.62 на 2026-06-24)
+- ⏱ Среднее время: **~10 секунд**
+- 💰 Стоимость: ~$0.001 за решение (~0.03 руб)
+- ✅ Статус: 1 (успех)
+- Токен получается: строка вида `1.xxx...` (Cloudflare format)
+
+```python
+# Upload
+POST https://2captcha.com/in.php?key=API_KEY&method=turnstile&sitekey=0x4AAAAAAAM8ceq5KhP1uJBt&pageurl=https://accounts.atxp.ai&json=1
+# Response: {"status":1, "request":"83062612727"}
+
+# Poll (every 5s)
+GET https://2captcha.com/res.php?key=API_KEY&action=get&id=83062612727&json=1
+# Response when ready: {"status":1, "request":"1.xxx...token..."}
+```
+
+### Turnstile bypass assessment
+| Метод | Результат | Причина |
+|-------|-----------|---------|
+| RuCaptcha + Privy API прямая | ❌ 401 Unauthorized | Privy требует iframe-сессию |
+| RuCaptcha + browser render | ❌ Turnstile в iframe, не на parent-page | Privy iframe не доступен из parent |
+| Browser + proxy | ❌ "You did not pass CAPTCHA" | Браузер детектится как automated |
+| Residential proxy | ❓ Не тестировалось | Нет residential |
+| Fund existing account | ✅ 100% | $5 через Stripe/USDC |
+
+**Вывод**: Turnstile token, полученный через RuCaptcha, ВАЛИДЕН, но Privy требует установленную iframe-сессию (cookie + CSRF) для API вызовов. `custom_jwt_auth: true` в конфиге означает, что Privy делегирует JWT-генерацию ATXP, а сам только аутентифицирует пользователя.
+
+## Privy API эндпоинты (из JS bundle 2.4MB)
+
+### Email/Passwordless
+```
+POST /api/v1/passwordless/init         — отправить magic link ✅ но 401 без сессии
+POST /api/v1/passwordless/authenticate — проверить код
+POST /api/v1/passwordless/link         — привязать email
+POST /api/v1/passwordless/update       — обновить email
+POST /api/v1/passwordless/transfer     — перенести
+POST /api/v1/passwordless/unlink       — отвязать
+```
+
+### OAuth
+```
+POST /api/v1/oauth/init
+POST /api/v1/oauth/authenticate
+POST /api/v1/oauth/link
+POST /api/v1/oauth/transfer
+POST /api/v1/oauth/unlink
+```
+
+### Другие
+```
+POST /api/v1/guest/authenticate        — guest
+POST /api/v1/mfa/passkeys/init         — MFA
+POST /api/v1/passkeys/authenticate/init
+POST /api/v1/passkeys/register/init
+POST /api/v1/farcaster/init
+POST /api/v1/farcaster/authenticate
+```
+
+### App Config (публичный, без auth)
+```
+GET /api/v1/apps/{appId}
+Origin: https://accounts.atxp.ai
+privy-app-id: {appId}
+```
+Возвращает полный конфиг приложения (включая captcha_site_key, allowed_domains, oauth providers).
+
+## QR login
+`npx atxp login --qr` генерирует QR + URL:
+```
+https://accounts.atxp.ai?cli_redirect=http%3A%2F%2Flocalhost%3A54013%2Fcallback&ctx=HEX
+```
+URL ведёт на ATXP SPA с параметром редиректа на localhost. CLI ожидает callback на localhost:XXXXX.
+Для автоматизации: открыть URL в браузере, пройти Privy логаут, callback сам вызовется.
+
+## CLI login --token с agent account
+```bash
+npx atxp login --token "https://accounts.atxp.ai?connection_token=TOKEN&account_id=ID"
+```
+- Формально успешен (→ "Login successful! Credentials saved to ~/.atxp/config")
+- НО: agent-аккаунты не имеют JWT-сессии (из-за `custom_jwt_auth: true`)
+- `npx atxp whoami` → `ATXPAccount: /sign did not return jwt`
+- `npx atxp balance` → `$0.00`
+- `npx atxp agent list` → показывает 1 агента (того же)
+- **Практическая польза**: только `agent list`, для всего остального нужен main account
+
+## MachineGuid — сброс device fingerprint
+Для сброса device rate limit ("Too many accounts from this device"):
+```batch
+reg add "HKLM\SOFTWARE\Microsoft\Cryptography" /v MachineGuid /t REG_SZ /d "NEW-GUID" /f
+```
+Требует права администратора.
+Батник: `C:\workspace\change_machine_guid.bat` (генерирует новый GUID через PowerShell, меняет реестр, чистит npm/npx кэш).
+
+Другие идентификаторы (для полного сброса):
+- Hostname: через `wmic computersystem call rename "NEW-NAME"` (требует перезагрузки)
+- MAC адреса: через hwID спуферы
+- Volume serial: не меняется без низкоуровневых утилит
+- UUID (SMBIOS): не меняется (в прошивке)