Безопасное хранение приватных ключей в backend-сервисах

// УЯЗВИМО — не копируй в прод
// @ton/ton ^15.1.0 · @ton/crypto ^3.3.0

import { mnemonicToPrivateKey } from "@ton/crypto";
import { WalletContractV5R1 } from "@ton/ton";

// ключ в исходнике / закоммиченном .env.example с реальными словами
const MNEMONIC = "word1 word2 ... word24";

export async function getWallet() {
  const key = await mnemonicToPrivateKey(MNEMONIC.split(" "));
  console.log("secret", key.secretKey); // утечка в логах/APM
  return WalletContractV5R1.create({ workchain: 0, publicKey: key.publicKey });
}

// @ton/ton ^15.1.0 · @ton/crypto ^3.3.0
// ИСПРАВЛЕНО: секрет из env/Secret Manager, без логирования raw key

import { mnemonicToPrivateKey } from "@ton/crypto";
import {
  TonClient,
  WalletContractV5R1,
  internal,
  toNano,
} from "@ton/ton";

async function loadMnemonic(): Promise<string[]> {
  const raw = process.env.TON_WALLET_MNEMONIC;
  if (!raw) {
    throw new Error("TON_WALLET_MNEMONIC is not set");
  }
  // В проде: AWS Secrets Manager / GCP Secret Manager / Vault —
  // процесс получает секрет при старте, не из git.
  return raw.trim().split(/\s+/);
}

export async function sendPayment(to: string, amountTon: string) {
  const mnemonic = await loadMnemonic();
  const key = await mnemonicToPrivateKey(mnemonic);
  const client = new TonClient({
    endpoint: process.env.TON_RPC_URL!,
  });
  const wallet = client.open(
    WalletContractV5R1.create({ workchain: 0, publicKey: key.publicKey }),
  );

  const seqno = await wallet.getSeqno();
  await wallet.sendTransfer({
    seqno,
    secretKey: key.secretKey,
    messages: [
      internal({
        to,
        value: toNano(amountTon),
        bounce: false,
      }),
    ],
  });
  // логируй только адрес кошелька, seqno, hash — не secretKey и не mnemonic
}