Um POST cobra.
Webhook avisa.

import { createHmac, timingSafeEqual } from "node:crypto";

export function wyzecash(req, res) {
  const corpo = req.rawBody; // o corpo cru, antes do JSON.parse
  const { t, v1 } = Object.fromEntries(
    req.headers["x-bukio-signature"].split(",").map((p) => p.split("=")));
  const esperado = createHmac("sha256", process.env.WYZECASH_WEBHOOK_SECRET)
    .update(`${t}.${corpo}`).digest("hex");
  const velho = Math.abs(Date.now() / 1000 - Number(t)) > 300;
  if (velho || !timingSafeEqual(Buffer.from(esperado), Buffer.from(v1)))
    return res.status(401).end();

  const evento = JSON.parse(corpo);
  if (jaProcessado(evento.id)) return res.status(200).end(); // evt_ repetido
  switch (evento.type) {
    case "payment.paid":        marcarPago(evento.data.id); break;
    case "payment.expired":     liberarPedido(evento.data.id); break;
    case "withdrawal.completed": avisarSaque(evento.data.id); break;
  }
  res.status(200).end();
}