Segurança

• Geração do lado do cliente — Web Workers em sua CPU criam cada par de chaves.
• Trânsito de chave zero — não há API que aceite ou retorne chaves privadas.
• Zero armazenamento de chaves — sem banco de dados, sem registros de segredos, sem análises de padrões ou endereços.
• Verificável — código aberto, auditoria ao vivo, teste offline, painel de rede.
• Prova sem exposição — provas compartilháveis ​​carregam apenas endereço + padrão.

As reivindicações de marketing são inúteis sem verificações. Use live audit e a seção Verificar abaixo.

Vanitas é um site Next.js estático. O host (por exemplo, Vercel) serve HTML, CSS, JS e pacotes de trabalho pré-construídos. A criptografia nunca é executada nesse host para suas chaves.

No escopo - projetamos contra

• Roubo de chaves no servidor (sem chaves no servidor).
• Sniffing casual de rede durante a mineração (sem tráfego principal).
• Clickjacking do aplicativo principal (negação de frames nas rotas primárias).
• Caminhos óbvios de exfiltração de XSS (CSP; ainda não é uma solução mágica).

Fora do escopo/responsabilidade compartilhada

• Extensões de navegador maliciosas que leem a memória da página ou a área de transferência. Desative-as em um perfil limpo ao falsificar chaves de alto valor.
• Dispositivo comprometido/malware — Keyloggers no nível do sistema operacional superam qualquer site.
• Você cola chaves no Discord/phishing — a segurança operacional é sua.
• Cadeia de suprimentos de dependências — fixamos e auditamos; você pode verificar hashes de trabalho e reconstruir a partir da fonte.

A mineração intuitiva não cria uma chave “mais fraca”. Padrões longos custam apenas mais CPU — eles não reduzem a entropia da chave privada.

Nada sobre suas chaves em nossos servidores. Nenhum banco de dados de endereços, padrões, IPs para mineração ou SDKs analíticos no caminho da forja.

A aleatoriedade sempre vem do navegador CSPRNG (crypto.getRandomValues). As curvas e a derivação de endereços diferem por cadeia:

As verificações pós-descoberta podem validar o tamanho da entropia, a presença de CSPRNG e a uniformidade do qui-quadrado em uma amostra aleatória — uma verificação de integridade do caminho RNG, não um substituto para a higiene do dispositivo.

O código de mineração é fornecido como arquivos estáticos public/*-worker.js criados a partir de fontes TypeScript. Cada compilação de produção registra resumos SHA-256 em worker-hash.json. A página de auditoria faz um novo hash dos trabalhadores que seu navegador carregou e os compara com esse arquivo.

Se os hashes divergirem, trate a página como não confiável – pare, não use chaves e investigue (implantação, cache ou adulteração incorreta). A reconstrução a partir do repositório aberto deve reproduzir os mesmos bytes de trabalho para um determinado commit.

As respostas incluem cabeçalhos que reduzem o impacto do XSS, forçam HTTPS e bloqueiam o enquadramento do aplicativo principal. O CSP ainda permite o que o Next.js precisa (incluindo algumas compensações inline/eval) - ajuda de cabeçalhos; eles não substituem a revisão de código.

Qualquer coisa executada com privilégios de página pode, em teoria, ler as mensagens do DOM e do Worker. Isso inclui:

• Extensões de navegador com amplo acesso ao site
• DevTools abertos em uma máquina compartilhada
• Scripts injetados maliciosos se o XSS existir
• A área de transferência fareja depois que você copia uma chave

Mitigações: perfil de navegador limpo, sem extensões desnecessárias, preferir baixar arquivos em vez da área de transferência para chaves de alto valor, limpar a área de transferência depois de colar em uma carteira, considerar o terminal CLI ou uma máquina isolada para grandes tesouros.

1. Carregue vanitas.fun (ou execute a partir de uma versão local verificada).
2. Opcional: abra a rede, fique offline, execute a auditoria.
3. Escolha primeiro um padrão curto; aumente o comprimento depois de confiar na configuração.
4. Ao localizar: exporte, armazene off-line e nunca capture chaves em aplicativos de bate-papo.
5. Importe para a carteira correta para essa rede; envie uma transferência de teste de poeira.
6. Para participações de longo prazo, transfira fundos para uma carteira de hardware – Vanitas é uma forja, não um cofre.

Não abra problemas públicos do GitHub para vulnerabilidades de segurança. Prefira os avisos de segurança privados do GitHub em bytebrox/vanitas. Inclua etapas de reprodução, impacto e uma sugestão de correção, se houver.