vlad/autoreg-skills-max

Fork 0

Files

baradok60915d52e8425 f58eafeb48 autoreg-skills-max: initial public release (restored, redacted, hardened)

2026-10-20 02:16:32 +03:00

8.3 KiB

Raw Permalink Blame History

ATXP Privy Auth Discovery (2026-06-24)

Privy App ID

ATXP accounts.atxp.ai использует Privy для аутентификации.

PRIVY_APP_ID: cma1jnfkk01mml20n6fyvsmll
PRIVY_CLIENT_ID: client-WY6L6ApVtkaEUHas1qqZ4fFKtQuUF67ghGYyd82oa5PTw

Найдено в window.__RUNTIME_CONFIG__ на странице accounts.atxp.ai.

Другие ключи из RUNTIME_CONFIG

REACT_APP_BASE_RPC: https://base-mainnet.g.alchemy.com/v2/ENYtQe49qSTmOeat11aTJ
REACT_APP_POSTHOG_API_KEY: phc_lcPjjHwHzWygn19kSMMgqVzNQRS76Hw3XTyaIyAEAtN
REACT_APP_SESSION_SIGNER_ID: ew4oqm21ujyrw7wdrd9x2cpl
REACT_APP_STRIPE_CLIENT_ID: ca_T9QAabQCDchXvzx107X5RSSKpUp4m8yS
REACT_APP_STRIPE_PUBLISHABLE_KEY: pk_live_51RpscXGVMCzmztWC2qUAAbxpUb4X3P8bNDgCnlllaom5O0zFRmwR2eshMIYOPAhTuQnbQsh8X4OVa5w4SYBY81lu00uB8UOVbb

Privy App Config (2026-06-24 discovery)

GET https://auth.privy.io/api/v1/apps/cma1jnfkk01mml20n6fyvsmll
Origin: https://accounts.atxp.ai
privy-app-id: cma1jnfkk01mml20n6fyvsmll

Response (полный конфиг ATXP приложения в Privy):

{
  "id": "cma1jnfkk01mml20n6fyvsmll",
  "name": "ATXP",
  "captcha_enabled": true,
  "enabled_captcha_provider": "turnstile",
  "captcha_site_key": "t:0x4AAAAAAAM8ceq5KhP1uJBt",
  "email_auth": true,
  "google_oauth": true,
  "custom_jwt_auth": true,
  "telegram_auth": false,
  "passkey_auth": false,
  "allowed_domains": [
    "https://*.atxp.ai",
    "https://*.novellum.ai",
    "https://*.paymcp.com",
    "https://atpx-auth-staging.onrender.com",
    "https://atxp-accounts-staging.onrender.com",
    "https://claims-notebooks-commission-presenting.trycloudflare.com",
    "https://atxp.ngrok.dev"
  ],
  "embedded_wallet_config": {
    "create_on_login": "users-without-wallets",
    "user_owned_recovery_options": ["user-passcode"],
    "mode": "user-controlled-server-wallets-only"
  },
  "funding_config": {
    "default_recommended_currency": {"chain": "solana", "asset": "native-currency"},
    "methods": ["moonpay", "external"]
  }
}

⚠️ captcha_site_key имеет префикс t: — это метка типа (Turnstile). Сам ключ: 0x4AAAAAAAM8ceq5KhP1uJBt

Auth Flow

ATXP SPA → Privy (react-auth:2.4.0) через iframe
Privy создаёт iframe к auth.privy.io/apps/{appId}/embedded-wallets
При вводе email → Privy вызывает Turnstile (невидимый, в iframe) → если OK → отправляет magic link
Пользователь получает 6-значный код или magic link на email (отправитель: no-reply@mail.privy.io)
Код/ссылка вводится → Privy создаёт сессию
ATXP генерирует connection_token + account_id (через кастомный JWT)

Turnstile на ATXP

Провайдер: Cloudflare Turnstile (не reCAPTCHA, не hCaptcha)
Sitekey: 0x4AAAAAAAM8ceq5KhP1uJBt (с префиксом t: в конфиге — t:0x4AAAAAAAM8ceq5KhP1uJBt)
Скрипт: https://challenges.cloudflare.com/turnstile/v0/api.js?onload=onloadTurnstileCallback&render=explicit
Тип: explicit render (невидимый, width/height 0, overflow hidden в Privy iframe)
Turnstile widget в DOM: <div class="cf-turnstile" style="width:0;height:0;overflow:hidden;">...</div> внутри Privy iframe
Рендер: Privy SDK вызывает turnstile.render() внутри своего iframe (не в parent-странице)

RuCaptcha/2captcha решение

Работает — 2captcha решает Turnstile с sitekey 0x4AAAAAAAM8ceq5KhP1uJBt:

API ключ: [REDACTED-KEY] (баланс $10.62 на 2026-06-24)
⏱ Среднее время: ~10 секунд
💰 Стоимость: ~$0.001 за решение (~0.03 руб)
✅ Статус: 1 (успех)
Токен получается: строка вида 1.xxx... (Cloudflare format)

# Upload
POST https://2captcha.com/in.php?key=API_KEY&method=turnstile&sitekey=0x4AAAAAAAM8ceq5KhP1uJBt&pageurl=https://accounts.atxp.ai&json=1
# Response: {"status":1, "request":"83062612727"}

# Poll (every 5s)
GET https://2captcha.com/res.php?key=API_KEY&action=get&id=83062612727&json=1
# Response when ready: {"status":1, "request":"1.xxx...token..."}

Turnstile bypass assessment

Метод	Результат	Причина
RuCaptcha + Privy API прямая	❌ 401 Unauthorized	Privy требует iframe-сессию
RuCaptcha + browser render	❌ Turnstile в iframe, не на parent-page	Privy iframe не доступен из parent
Browser + proxy	❌ "You did not pass CAPTCHA"	Браузер детектится как automated
Residential proxy	❓ Не тестировалось	Нет residential
Fund existing account	✅ 100%	$5 через Stripe/USDC

Вывод: Turnstile token, полученный через RuCaptcha, ВАЛИДЕН, но Privy требует установленную iframe-сессию (cookie + CSRF) для API вызовов. custom_jwt_auth: true в конфиге означает, что Privy делегирует JWT-генерацию ATXP, а сам только аутентифицирует пользователя.

Privy API эндпоинты (из JS bundle 2.4MB)

Email/Passwordless

POST /api/v1/passwordless/init         — отправить magic link ✅ но 401 без сессии
POST /api/v1/passwordless/authenticate — проверить код
POST /api/v1/passwordless/link         — привязать email
POST /api/v1/passwordless/update       — обновить email
POST /api/v1/passwordless/transfer     — перенести
POST /api/v1/passwordless/unlink       — отвязать

OAuth

POST /api/v1/oauth/init
POST /api/v1/oauth/authenticate
POST /api/v1/oauth/link
POST /api/v1/oauth/transfer
POST /api/v1/oauth/unlink

Другие

POST /api/v1/guest/authenticate        — guest
POST /api/v1/mfa/passkeys/init         — MFA
POST /api/v1/passkeys/authenticate/init
POST /api/v1/passkeys/register/init
POST /api/v1/farcaster/init
POST /api/v1/farcaster/authenticate

App Config (публичный, без auth)

GET /api/v1/apps/{appId}
Origin: https://accounts.atxp.ai
privy-app-id: {appId}

Возвращает полный конфиг приложения (включая captcha_site_key, allowed_domains, oauth providers).

npx atxp login --qr генерирует QR + URL:

https://accounts.atxp.ai?cli_redirect=http%3A%2F%2Flocalhost%3A54013%2Fcallback&ctx=HEX

URL ведёт на ATXP SPA с параметром редиректа на localhost. CLI ожидает callback на localhost:XXXXX. Для автоматизации: открыть URL в браузере, пройти Privy логаут, callback сам вызовется.

npx atxp login --token "https://accounts.atxp.ai?connection_token=TOKEN&account_id=ID"

Формально успешен (→ "Login successful! Credentials saved to ~/.atxp/config")
НО: agent-аккаунты не имеют JWT-сессии (из-за custom_jwt_auth: true)
npx atxp whoami → ATXPAccount: /sign did not return jwt
npx atxp balance → $0.00
npx atxp agent list → показывает 1 агента (того же)
Практическая польза: только agent list, для всего остального нужен main account

MachineGuid — сброс device fingerprint

Для сброса device rate limit ("Too many accounts from this device"):

reg add "HKLM\SOFTWARE\Microsoft\Cryptography" /v MachineGuid /t REG_SZ /d "NEW-GUID" /f

Требует права администратора. Батник: C:\workspace\change_machine_guid.bat (генерирует новый GUID через PowerShell, меняет реестр, чистит npm/npx кэш).

Другие идентификаторы (для полного сброса):

Hostname: через wmic computersystem call rename "NEW-NAME" (требует перезагрузки)
MAC адреса: через hwID спуферы
Volume serial: не меняется без низкоуровневых утилит
UUID (SMBIOS): не меняется (в прошивке)

8.3 KiB Raw Permalink Blame History Unescape Escape