Pul tam olaraq necə çıxır — və istənilən cüzdanda nəyi yoxlamaq lazımdır
Hər yolun altında: nə olur, real hadisə, bir dəqiqəlik yoxlama və Mitilena üçün dürüst cavab. «Bizdə necə» blokları tətbiq koduna qarşı yoxlanıldı. «Bizə inan» deyil: veb build-i yerli proxy-dən keçirib bütün trafiki açıq şəkildə görə bilərsiniz.
Açar başqa yerdə doğulur
Cüzdan açarı serverdə yaradır və ya yaradandan dərhal sonra ora göndərir — “bulud ehtiyatı” və ya “telefon nömrəsi ilə bərpa” deyə. Həmin andan coinlərinizi xərcləyə biləcək tək şəxs siz deyilsiniz.
Açar təsadüfidir — amma proqnozlaşdırıla bilər
Açar çox böyük təsadüfi ədəddir. RNG zəifdirsə real açar azdır və hücumçular bütün müştəriləri birlikdə brute-force edir — bəzən illər sonra. Aparat cüzdan xilas etmir: generator orada da durur.
Açar loq və analitika vasitəsilə sızır
Heç kim oğurlamaq istəməmişdi. Crash hesabatı və ya analitika hadisəsi bütün ekranı tutmuşdu — seed ifadəsi daxil. Loqlar üçüncü tərəf servisdə durur; onlarla nəfərə və o servisi hakləyənlərə açıqdır.
Bir şey görürsünüz, başqa şey imzalayırsınız
Ekranda: anaya köçürmə. İmzada: oğruya köçürmə və ya müqavilə sahibi dəyişikliyi. Bufer troyanı, brauzer əlavəsi və ya haklənmiş interfeys dəyişdirir. İmza realdır — sizindir — və şəbəkə qəbul edir.
Köçürmə deyil — təsdiq imzalayırsınız
Sayt “cüzdanı bağla və təsdiqlə” deyir. Limitsiz approve və ya Permit imzalayırsınız — yad müqavilə tokenlərinizi istədiyi vaxt çəkə bilər: bir gün və ya bir ay sonra.
Arxa qapılı yeniləmə
Cüzdan dürüstdür; kitabxana və ya build deyil: haklənmiş tərtibatçı hesabı, dəyişdirilmiş asılılıq, build maşınında yad kod. Növbəti yeniləmə hamıdan birdən açar götürür — siz yalnız Yenilə-yə basdınız.
Cüzdan kimi görünən saxta
Eyni ad və ikonla mağaza klonu, oxşar sayt, gerçəyin üstündə reklamlar, Telegram-da “yeniləmə”. İçində: “bərpa üçün seed-inizi daxil edin” forması. Nə yazsanız oğruya gedir.
Saxlamayan kimi geyindirilmiş saxlayan
İnterfeys cüzdan kimi görünür, amma açarınız yoxdur: coinlər şirkətin hesabındadır, siz verilənlər bazasında bir sətirsiniz. Şirkət dondura, sənəd istəyə, bataraq və ya yox ola bilər. Bu başqa məhsuldur — və bunu açıq deməlidirlər.
Açar cihazda açıq durur
Cüzdan açarı “rahatlıq üçün” saxlayır — şifrəsiz faylda, iCloud və ya Google ehtiyatında, ekran görüntüsündə. Bundan sonra kriptoqrafiyanı sındırmağa ehtiyac yoxdur — ehtiyata giriş və ya telefonla beş dəqiqə kifayətdir.
Açar imzanın özündən sızır
Ən səssiz yol. ECDSA imzası təsadüfi ədəd daşıyır; dəyişdirilmiş kitabxana açarınızın hissələrini iki-üç adi imzanın içinə gizlədə bilər. Hər şey işləyir; zənciri oxuyan açarı yenidən birləşdirir.
Mübadilədə səssiz kəsim
Cüzdan “oğurlamır” — “qazanır”: mübadilə öz wrapper müqaviləsindən keçir, məzənnəyə marja basdırılır, slippage fərq etməyəcəyiniz şəkildə qurulur. Pul yenə səssizcə çıxır.
Seed-i içəridən istəyirlər
Cüzdan çatında “dəstək”, “bərpa ifadəinizi təsdiqləyin” popup-ı, “təhlükəsizlik yeniləməsi” e-poçtu. Cüzdan real ola bilər; pəncərə deyil: əlavə, üstünə oturmuş səhifə, sızmış müştəri siyahısına məktub.
Cüzdanınızı beş dəqiqədə yoxlayın
On iki sual. Nə qədər çox “bəli”, o qədər rahat olursunuz. Saxlayın və istənilən cüzdanı — bizimkini də — bundan keçirin.
Cüzdanın dayandıra bilməyəcəyi şeylər
Oğurlanmış açar dərhal oğurlanmış pul demək deyililk növbədə
Cüzdan bir il əvvəl ələ keçirilmiş ola bilər; pul böyük məbləğ yatırdığınız gün çıxır — və hara nə quraşdırdığınızı xatırlamırsınız. Ona görə ara-sıra yeni cüzdan açın, vəsaitləri təzə açara köçürün — xüsusilə böyük yükləmədən əvvəl — və tətbiqi aktual saxlayın.
Cihazınızdakı virus
Keylogger, bufer troyanı, dəstək üçün “uzaqdan giriş”. İmza başlatdığınız yerdə olur: yoluxmuş telefonda təhlükəsiz cüzdan yoxdur. Böyük məbləğlərdə — NFC kart və ya interneti olmayan cihazda imza.
Açıqda seed
Qalereyada fotoşəkil, buludda qeyd, monitorda etikett. Cüzdan açarı düzgün saxlayır — nüsxəni siz verdiniz.
Özünüz imzaladınız
Saxta layihə, “zəmanətli gəlirli menecer”, “çıxarışı təsdiqləyin”. Cüzdan nə imzaladığınızı göstərir — qərar sizdə qalır.
Hər kəsə açıq blokçeyn
Ünvanlar, məbləğlər və köçürmə vaxtları əbədi hər kəsə açıqdır. Məxfilik ünvan gigiyenasından və ya Monero kimi şəbəkələrdən gəlir — cüzdandan deyil.
“Açıq mənbəyə” kor-koranə inanmayın
Hər kəsə açıq depo xilas etmir: buraxılışda tək inject kifayətdir. Real yoxlama, hər şeyin açıldığı yerli proxy-li stenddə öz trafikinizin özüdür. Mitilena-nı belə yoxlamağa dəvət edirik: açar mübadilədə çıxmır — gözünüzlə görürsünüz, “GitHub yaşıl deyə” deyil.
Proqram kifayət etməyəndə — axmaq daşıyıcı və air-gap götürün
Zavoddan “sehrli çip” deyil. Mitilena NFC kartı, sizin şifrələdiyiniz açar üçün yalnız yaddaşdır. Ultimate dəst interneti olmayan cihazda generasiya və imza əlavə edir: açarın şəbəkə üzərindən sızacaq yeri yoxdur. Kartlar boş gəlir — kuryer və anbar tənlikdən kənardır.
Cihazınızdakı virus
SIM-siz və internetsiz ayrı telefonda imzalayın: əməliyyat ora QR ilə gedir və imzalı qayıdır; açar şəbəkəyə bağlı cihazda heç durmur. Daha sadə səviyyə — əsas telefondakı kart: açar imza saniyəsində izolyasiya olunmuş mühitdə peyda olur və silinir.
Açıqda seed və ekran görüntüləri
Seed yoxdur: açar Mitilena Air-də oflayn doğulur və karta şifrəli yazılır. Fotoşəkil çəkiləcək heç nə yoxdur; şifrəsiz tapılan kart və ya stiker işə yaramayan plastikdir.
İtirdi, islandı, yandı
Qutuda beş güzgü nüsxə: iki NFC kart və 10+ il üçün su keçirməyən plastikdə üç stealth stiker. Biri getdi — digərləri işləyir.
Özünüz təsdiqlədiyiniz fırıldaqçılıq
Heç bir daşıyıcı gözünüzün yerini tutmur: ekrandakı məbləğ və ünvan sizindir. Oflayn imza köçürməni ayrı cihazda yoxlamaq üçün əlavə saniyə verir, amma düymənin yerinə düşünmür. Hər kəsə açıq zəncir də gizlətmir — Monero və ünvan gigiyenası bunun üçündür.
Buraya qədər oxuyanların soruşduğu
“Təhlükəsiz çipli” aparat cüzdan — soyuqdur, elə deyilmi?
Çox vaxt xeyr. Secure element qapalı kodlu mini kompüterdir: açarları özü yaradır və özü imzalayır; silikonda nə olduğu görünmür. Coldcard bunu artıq göstərdi: firmware-də zəif RNG, cihaza giriş olmadan brute-force edilən açarlar. Ledger polis sorğusu ilə girişdən açıq danışıb. Real soyuq — daşıyıcı axmaq olanda şifrələyib imzalayanın siz olduğunuzdur. Mitilena NFC kartları belə işləyir: ciphertext-iniz üçün boş yaddaş, başqasının mikrokompüteri deyil.
Cüzdanın açarımı saxladığını necə başa düşüm?
Birbaşa — edə bilməzsiniz: trafik şifrəlidir. Dolayı — yaradılışda təyyarə rejimi, açar ixracı, serversiz iş, adlandırılmış kitabxanalar, izləyici yox. Cüzdan açarı e-poçt və ya telefon nömrəsi ilə “bərpa edirsə” — açar mütləq ondadır.
Fırıldaqçıya təsdiq imzaladımsa nə olur?
Dərhal ləğv edin (revoke.cash və ya şəbəkənizin ekvivalenti) və tokenləri yeni ünvana köçürün. Sayt getmiş olsa belə təsdiq ləğv edilənə qədər qalır.
Açarın serverə getmədiyini necə yoxlayım?
“GitHub-ımızı açın” ilə deyil. Stend ilə: yerli proxy bütün tətbiq trafikini açır — paketləri özünüz yoxlayın. Açar mübadilədə yoxdursa görürsünüz. Bələdçi: mitelena.com/our-code-is-open-for-verification.