Seguridad

• Generación del lado del cliente: los Web Workers de su CPU crean cada par de claves.
• Tránsito de clave cero: no existe ninguna API que acepte o devuelva claves privadas.
• Almacenamiento de claves cero: sin base de datos, sin registros de secretos, sin análisis de patrones o direcciones.
• Verificable: código abierto, auditoría en vivo, prueba fuera de línea, panel de red.
• Prueba sin exposición: las pruebas que se pueden compartir solo llevan dirección + patrón.

Las afirmaciones de marketing no tienen valor sin controles. Utilice live audit y la sección Verificar a continuación.

Vanitas es un sitio estático de Next.js. El host (por ejemplo, Vercel) ofrece HTML, CSS, JS y paquetes de trabajadores prediseñados. La criptografía nunca se ejecuta en ese host para sus claves.

En alcance: diseñamos en contra

• Robo de claves del lado del servidor (no hay claves en el servidor).
• Rastreo casual de redes durante la minería (sin tráfico clave).
• Clickjacking de la aplicación principal (denegación de cuadros en rutas principales).
• Rutas obvias de exfiltración XSS (CSP; todavía no es una solución milagrosa).

Fuera de alcance/responsabilidad compartida

• Extensiones de navegador maliciosas que leen la memoria de la página o el portapapeles: deshabilítelas en un perfil limpio al falsificar claves de alto valor.
• Dispositivo/malware comprometido: los keyloggers a nivel de sistema operativo superan a cualquier sitio web.
• Estás pegando claves en Discord/phishing: la seguridad operativa es tuya.
• Cadena de suministro de dependencias: fijamos y auditamos; puede verificar los hashes de los trabajadores y reconstruir desde la fuente.

La minería de vanidad no crea una clave "más débil". Los patrones largos sólo cuestan más CPU; no reducen la entropía de la clave privada.

Nada sobre sus claves en nuestros servidores. No hay bases de datos de direcciones, patrones, IP para minería o SDK de análisis en la ruta de forja.

La aleatoriedad siempre proviene del navegador CSPRNG (crypto.getRandomValues). Las curvas y la derivación de direcciones difieren según la cadena:

Las comprobaciones posteriores a la búsqueda pueden validar el tamaño de la entropía, la presencia de CSPRNG y la uniformidad de chi-cuadrado en una muestra aleatoria: una verificación del estado de la ruta RNG, no un sustituto de la higiene del dispositivo.

El código de minería se envía como archivos estáticos public/*-worker.js creados a partir de fuentes TypeScript. Cada compilación de producción registra resúmenes SHA-256 en worker-hash.json. La página de auditoría vuelve a cifrar los trabajadores que cargó su navegador y los compara con ese archivo.

Si los hash divergen, trate la página como si no fuera de confianza: deténgala, no use claves e investigue (implementación incorrecta, caché o manipulación). La reconstrucción desde el repositorio abierto debería reproducir los mismos bytes de trabajo para una confirmación determinada.

Las respuestas incluyen encabezados que reducen el impacto XSS, fuerzan HTTPS y bloquean el encuadre de la aplicación principal. CSP todavía permite lo que Next.js necesita (incluidas algunas compensaciones en línea/evaluación): los encabezados ayudan; no reemplazan la revisión del código.

Cualquier cosa que se ejecute con privilegios de página puede, en teoría, leer los mensajes DOM y Worker. Eso incluye:

• Extensiones de navegador con amplio acceso al sitio
• DevTools abierto en una máquina compartida
• Scripts inyectados maliciosos si existe XSS
• Rastreadores del portapapeles después de copiar una clave

Mitigaciones: perfil limpio del navegador, sin extensiones innecesarias, prefiera descargar archivos en lugar del portapapeles para claves de alto valor, borrar el portapapeles después de pegarlo en una billetera, considere la CLI del terminal o una máquina con espacio de aire para grandes tesoros.

1. Cargue vanitas.fun (o ejecútelo desde una compilación local verificada).
2. Opcional: abra la red, desconéctese, ejecute la auditoría.
3. Elija primero un patrón corto; aumente la longitud una vez que confíe en la configuración.
4. Al buscar: exportar, almacenar sin conexión, nunca capturar claves en aplicaciones de chat.
5. Importar a la billetera correcta para esa cadena; enviar una transferencia de prueba de polvo.
6. Para tenencias a largo plazo, mueva los fondos a una billetera de hardware: Vanitas es una fragua, no una bóveda.

No abra problemas públicos de GitHub en busca de vulnerabilidades de seguridad. Prefiere avisos de seguridad privados de GitHub en bytebrox/vanitas. Incluya los pasos de reproducción, el impacto y una solución sugerida, si la tiene.