安全

• クライアント側の生成 — CPU 上の Web ワーカーがすべてのキーペアを作成します。
• ゼロキー転送 — 秘密キーを受け入れたり返したりする API はありません。
• ゼロキーストレージ — データベース、秘密のログ、パターンやアドレスの分析はありません。
• 検証可能 — オープンソース、ライブ監査、オフライン テスト、ネットワーク パネル。
• 露出のないプルーフ — 共有可能なプルーフにはアドレスとパターンのみが含まれます。

マーケティング上の主張は、チェックがなければ価値がありません。 live audit と以下の「検証」セクションを使用してください。

Vanitas は静的な Next.js サイトです。ホスト (Vercel など) は、HTML、CSS、JS、および事前構築されたワーカー バンドルを提供します。キーのホスト上で暗号化が実行されることはありません。

範囲内 — 私たちはそれに基づいて設計します

• サーバー側のキーの盗難 (サーバー上にキーがない)。
• マイニング中のカジュアルなネットワーク スニッフィング (主要なトラフィックなし)。
• メイン アプリのクリックジャッキング (プライマリ ルートでのフレーム拒否)。
• 明らかな XSS 抽出パス (CSP、まだ特効薬ではありません)。

範囲外 / 共同責任

• ページ メモリまたはクリップボードを読み取る 悪意のあるブラウザ拡張機能 - 高価なキーを偽造する場合は、クリーンなプロファイルでそれらを無効にします。
• 侵害されたデバイス / マルウェア — OS レベルのキーロガーはあらゆる Web サイトを打ち負かします。
• Discord / フィッシングにキーを貼り付ける — 運用上のセキュリティはあなたのものです。
• 依存関係のサプライチェーン — 私たちは固定し、監査します。ワーカーのハッシュを検証し、ソースから再構築できます。

バニティ マイニングでは「弱い」キーは作成されません。長いパターンでは CPU のコストが増加するだけであり、秘密キーのエントロピーは減少しません。

当社のサーバー上のキーについては何もありません。 フォージ パスにはアドレス、パターン、マイニング用の IP、または分析 SDK のデータベースはありません。

ランダム性は常にブラウザー CSPRNG (crypto.getRandomValues) から得られます。カーブとアドレスの導出はチェーンによって異なります。

検索後のチェックでは、ランダム サンプルのエントロピー サイズ、CSPRNG の存在、カイ 2 乗均一性を検証できます。これは、RNG パスの健全性チェックであり、デバイスの健全性の代替ではありません。

マイニング コードは、TypeScript ソースから構築された静的 public/*-worker.js ファイルとして出荷されます。各実稼働ビルドでは、SHA-256 ダイジェストが worker-hash.json に記録されます。監査ページは、ブラウザーがロードしたワーカーを再ハッシュし、そのファイルと比較します。

ハッシュが異なる場合は、ページを信頼できないものとして扱います。停止し、キーを使用せず、調査します (間違ったデプロイ、キャッシュ、または改ざん)。オープン リポジトリから再構築すると、特定のコミットに対して同じワーカー バイトが再現されるはずです。

応答には、XSS の影響を軽減し、HTTPS を強制し、メイン アプリのフレーム化をブロックするヘッダーが含まれます。 CSP では、Next.js が必要とするもの (一部のインライン / eval トレードオフを含む) が引き続き許可されます。ヘッダーは役立ちます。コードレビューに代わるものではありません。

ページ権限で実行されるものは、理論上、DOM およびワーカー メッセージを読み取ることができます。これには以下が含まれます:

• 広範囲のサイトにアクセスできるブラウザ拡張機能
• 共有マシン上で DevTools が開く
• XSS が存在する場合、悪意のあるスクリプトが挿入される
• キーをコピーした後にクリップボードがスニッファーする

緩和策: クリーンなブラウザプロファイル、不要な拡張機能を使用しない、価値の高いキーについてはクリップボードよりもファイルのダウンロードを優先する、ウォレットに貼り付けた後にクリップボードを消去する、大規模な財務にはターミナル CLI またはエアギャップマシンを検討する。

1. vanitas.fun をロードします (または検証済みのローカル ビルドから実行します)。
2. オプション: ネットワークを開き、オフラインにし、監査を実行します。
3. 最初に短いパターンを選択します。セットアップが信頼できるようになったら、長さを増やしてください。
4. 検索時: エクスポートしてオフラインで保存し、キーをチャット アプリにスクリーンショットすることはありません。
5. そのチェーンの正しいウォレットにインポートします。ダストテスト転送を送信します。
6. 長期保有の場合は、資金をハードウェア ウォレットに移動してください。Vanitas は保管庫ではなく鍛冶場です。

セキュリティの脆弱性に関する GitHub の公開問題を公開しないでください。 bytebrox/vanitas のプライベート GitHub セキュリティ アドバイザリを優先します。再現手順、影響、および推奨される修正がある場合はそれも含めます。