Sicurezza

• Generazione lato client: i Web Worker sulla tua CPU creano ogni coppia di chiavi.
• Zero transito di chiavi: non esiste alcuna API che accetti o restituisca chiavi private.
• Zero storage di chiavi: nessun database, nessun registro di segreti, nessuna analisi di modelli o indirizzi.
• Verificabile: open source, verifica in tempo reale, test offline, pannello di rete.
• Prova senza esposizione: le prove condivisibili riportano solo indirizzo + modello.

Le affermazioni di marketing sono inutili senza controlli. Utilizza live audit e la sezione Verifica di seguito.

Vanitas è un sito Next.js statico. L'host (ad esempio Vercel) fornisce pacchetti di lavoro HTML, CSS, JS e predefiniti. La crittografia non viene mai eseguita su quell'host per le tue chiavi.

Nell'ambito: progettiamo contro

• Furto di chiavi lato server (nessuna chiave sul server).
• Sniffing casuale della rete durante il mining (nessun traffico chiave).
• Clickjacking dell'app principale (frame Deny sui percorsi primari).
• Evidenti percorsi di esfiltrazione XSS (CSP; ancora non una soluzione miracolosa).

Fuori ambito/responsabilità condivisa

• Estensioni del browser dannose che leggono la memoria della pagina o gli appunti: disattivale su un profilo pulito quando si falsificano chiavi di alto valore.
• Dispositivo compromesso/malware: i keylogger a livello di sistema operativo battono qualsiasi sito web.
• Incolli le chiavi in ​​Discord/phishing: la sicurezza operativa è tua.
• Catena di dipendenze: fissiamo e controlliamo; puoi verificare gli hash dei lavoratori e ricostruire dall'origine.

Il vanity mining non crea una chiave “più debole”. I modelli lunghi costano solo più CPU e non riducono l’entropia della chiave privata.

Niente sulle tue chiavi sui nostri server. Nessun database di indirizzi, modelli, IP per il mining o SDK di analisi nel percorso di forge.

La casualità proviene sempre dal browser CSPRNG (crypto.getRandomValues). Le curve e la derivazione dell'indirizzo differiscono in base alla catena:

I controlli post-ricerca possono convalidare la dimensione dell'entropia, la presenza di CSPRNG e l'uniformità del chi quadrato su un campione casuale: un controllo dello stato del percorso RNG, non un sostituto dell'igiene del dispositivo.

Il codice di mining viene fornito come file public/*-worker.js statici creati da origini TypeScript. Ogni build di produzione registra i digest SHA-256 in worker-hash.json. La pagina di controllo esegue nuovamente l'hashing dei lavoratori caricati dal tuo browser e li confronta con quel file.

Se gli hash divergono, tratta la pagina come non attendibile: fermati, non utilizzare chiavi e indaga (distribuzione errata, cache o manomissione). La ricostruzione dal repository aperto dovrebbe riprodurre gli stessi byte di lavoro per un determinato commit.

Le risposte includono intestazioni che riducono l'impatto XSS, forzano HTTPS e bloccano il framing dell'app principale. CSP consente ancora ciò di cui Next.js ha bisogno (inclusi alcuni compromessi inline/eval): le intestazioni aiutano; non sostituiscono la revisione del codice.

Tutto ciò che viene eseguito con privilegi di pagina può, in teoria, leggere i messaggi DOM e Worker. Ciò include:

• Estensioni del browser con ampio accesso al sito
• DevTools si apre su un computer condiviso
• Script iniettati dannosi se esiste XSS
• Lo sniffer degli appunti viene eseguito dopo aver copiato una chiave

Mitigazioni: pulire il profilo del browser, nessuna estensione non necessaria, preferire il download dei file agli appunti per chiavi di alto valore, cancellare gli appunti dopo averli incollati in un portafoglio, considerare la CLI del terminale o una macchina con air gap per grandi tesorerie.

1. Carica vanitas.fun (o esegui da una build locale verificata).
2. Facoltativo: aprire la rete, andare offline, eseguire il controllo.
3. Scegli prima un modello corto; aumenta la lunghezza una volta che ti fidi della configurazione.
4. Alla ricerca: esporta, archivia offline, non eseguire mai lo screenshot delle chiavi nelle app di chat.
5. Importa nel portafoglio corretto per quella catena; inviare un trasferimento di prova della polvere.
6. Per le partecipazioni a lungo termine, sposta i fondi su un portafoglio hardware: Vanitas è una fucina, non un caveau.

Non aprire problemi pubblici di GitHub per vulnerabilità di sicurezza. Preferisci gli avvisi di sicurezza GitHub privati ​​su bytebrox/vanitas. Includi i passaggi di riproduzione, l'impatto e una soluzione suggerita, se ne hai una.