Sicherheit

• Clientseitige Generierung – Web Worker auf Ihrer CPU erstellen jedes Schlüsselpaar.
• Null-Schlüssel-Transit – es gibt keine API, die private Schlüssel akzeptiert oder zurückgibt.
• Keine Schlüsselspeicherung – keine Datenbank, keine Protokolle von Geheimnissen, keine Analyse von Mustern oder Adressen.
• Überprüfbar – Open Source, Live-Audit, Offline-Test, Netzwerkpanel.
• Proof ohne Belichtung – gemeinsam nutzbare Proofs enthalten nur Adresse und Muster.

Ohne Schecks sind Marketingaussagen wertlos. Verwenden Sie den Abschnitt „live audit“ und „Überprüfen“ unten.

Vanitas ist eine statische Next.js-Site. Der Host (z. B. Vercel) stellt HTML, CSS, JS und vorgefertigte Worker-Bundles bereit. Für Ihre Schlüssel wird auf diesem Host niemals Kryptographie ausgeführt.

Im Umfang – wir entwerfen dagegen

• Serverseitiger Schlüsseldiebstahl (keine Schlüssel auf dem Server).
• Gelegentliches Netzwerkschnüffeln während des Minings (kein Schlüsselverkehr).
• Clickjacking der Haupt-App (Frame-Deny auf primären Routen).
• Offensichtliche XSS-Exfiltrationspfade (CSP; immer noch kein Allheilmittel).

Außerhalb des Geltungsbereichs/der gemeinsamen Verantwortung

• Bösartige Browsererweiterungen, die den Seitenspeicher oder die Zwischenablage lesen – deaktivieren Sie sie in einem sauberen Profil, wenn Sie hochwertige Schlüssel fälschen.
• Kompromittiertes Gerät/Malware – Keylogger auf Betriebssystemebene besiegen jede Website.
• Sie fügen Schlüssel in Discord ein/Phishing – die Betriebssicherheit liegt bei Ihnen.
• Lieferkette mit Abhängigkeiten – wir fixieren und prüfen; Sie können Worker-Hashes überprüfen und aus der Quelle neu erstellen.

Vanity Mining erzeugt keinen „schwächeren“ Schlüssel. Lange Muster kosten nur mehr CPU – sie verringern nicht die Entropie des privaten Schlüssels.

Nichts über Ihre Schlüssel auf unseren Servern. Keine Datenbank mit Adressen, Mustern, IPs für Mining oder Analyse-SDKs im Forge-Pfad.

Zufälligkeit kommt immer vom Browser CSPRNG (crypto.getRandomValues). Kurven und Adressableitung unterscheiden sich je nach Kette:

Post-Find-Prüfungen können die Entropiegröße, das Vorhandensein von CSPRNG und die Chi-Quadrat-Gleichmäßigkeit anhand einer Zufallsstichprobe validieren – eine Gesundheitsprüfung des RNG-Pfads und kein Ersatz für Gerätehygiene.

Mining-Code wird als statische public/*-worker.js-Dateien geliefert, die aus TypeScript-Quellen erstellt wurden. Jeder Produktions-Build zeichnet SHA-256-Digests in worker-hash.json auf. Die Audit-Seite hasht die von Ihrem Browser geladenen Worker erneut und vergleicht sie mit dieser Datei.

Wenn die Hashes voneinander abweichen, behandeln Sie die Seite als nicht vertrauenswürdig – stoppen Sie, verwenden Sie keine Schlüssel und untersuchen Sie sie (falsche Bereitstellung, Cache oder Manipulation). Bei der Neuerstellung aus dem offenen Repo sollten dieselben Worker-Bytes für einen bestimmten Commit reproduziert werden.

Zu den Antworten gehören Header, die die XSS-Auswirkungen reduzieren, HTTPS erzwingen und das Framing der Haupt-App blockieren. CSP ermöglicht immer noch, was Next.js benötigt (einschließlich einiger Inline-/Eval-Kompromisse) – Header-Hilfe; Sie ersetzen nicht die Codeüberprüfung.

Alles, was mit Seitenprivilegien läuft, kann theoretisch die DOM- und Worker-Nachrichten lesen. Dazu gehört:

• Browsererweiterungen mit umfassendem Site-Zugriff
• DevTools wird auf einem gemeinsam genutzten Computer geöffnet
• Böswillige injizierte Skripte, wenn XSS vorhanden ist
• Zwischenablage-Sniffer, nachdem Sie einen Schlüssel kopiert haben

Abhilfemaßnahmen: Sauberes Browserprofil, keine unnötigen Erweiterungen, für hochwertige Schlüssel das Herunterladen von Dateien gegenüber der Zwischenablage bevorzugen, Zwischenablage nach dem Einfügen in eine Brieftasche löschen, bei großen Kassen die Terminal-CLI oder einen Air-Gap-Computer in Betracht ziehen.

1. Laden Sie vanitas.fun (oder führen Sie es von einem verifizierten lokalen Build aus).
2. Optional: Netzwerk öffnen, offline gehen, Audit durchführen.
3. Wählen Sie zunächst ein kurzes Muster; Erhöhen Sie die Länge, sobald Sie dem Setup vertrauen.
4. Beim Finden: Exportieren, offline speichern, niemals Screenshots von Schlüsseln in Chat-Apps machen.
5. In die richtige Wallet für diese Kette importieren; Senden Sie eine Staubtestübertragung.
6. Für langfristige Bestände verschieben Sie Gelder in eine Hardware-Wallet – Vanitas ist eine Schmiede, kein Tresor.

Öffnen Sie keine öffentlichen GitHub-Ausgaben wegen Sicherheitslücken. Bevorzugen Sie private GitHub-Sicherheitshinweise auf bytebrox/vanitas. Geben Sie Reproduktionsschritte, Auswirkungen und einen Lösungsvorschlag an, falls vorhanden.