SaveSaveSaveSave ← Prije nego što djelujete
Hrvatski

Tehnička transparentnost · Rujan 2026

Kako to zapravo radi

Svaka tvrdnja u Prije nego što postupite, s detaljima iza nje.

Nije vam potreban ovaj dokument za korištenje proizvoda. Postoji kako bi svatko tko želi provjeriti tvrdnje mogao ih provjeriti, uključujući i one nelaskave.

Scan engine v0.2.0 · model rezultata v1.0.0.

1. Pokrivenost lanca

EkosustavPokrivenost
EVM — 14 lanacaEthereum, BNB Smart Chain, Polygon, Arbitrum, Optimism, Base, Avalanche, Fantom, zkSync Era, Linea, Scroll, Blast, Mantle, Gnosis. Čekovi tokena i novčanika.
SolanaIzvorni sigurnosni model — ovlaštenje za kovanje, ovlaštenje za zamrzavanje, promjenjivost metapodataka, kuke za prijenos — plus podaci o likvidnosti (broj skupa, ukupna vrijednost zaključana, status zaključavanja LP-a) prikazani kao kontekst, a ne kao unos presude. Čekovi novčanika uključeni.
SuiSigurnost samo tokena. Davatelj podataka ne vraća podatke o likvidnosti ili vlasniku za Sui, tako da opseg odgovara onome što je stvarno dostupno, a ne onome što bi izgledalo bolje.
TRONSigurnost tokena i provjere adresa. Potvrđeno je da TRON odgovor pružatelja dijeli EVM shemu umjesto da se pretpostavlja.
Bitcoin, Cosmos, Cardano, drugiNije pokriveno. Adapter ne postoji, a ekstraktor adresa namjerno odbija ponuditi skeniranje koje ne može izvesti.

Aptos je ocijenjen i nije napravljen. Pojavljuje se u marketinškom materijalu davatelja podataka, ali se ne može potvrditi provjerljiva tehnička krajnja točka, pa se ne tvrdi da je podržan.

Sukobi formata adrese

Vrsta adrese detektira se automatski. Četiri podržana formata konstrukcijski se ne preklapaju, ali vrijedilo je izračunati dva sudara, a ne pretpostaviti:

Također namjerno isključeno: bech32 adrese kao što je bc1… (izvan abecede base58), IPFS identifikatori sadržaja, hashovi transakcija od 64 znaka koji unutar sebe sadrže ispravnu 40-heks adresu EVM i ENS imena kao što je vitalik.eth, koja rješavaju adresu, ali samo putem pretraživanje koje ova stranica nikad ne radi.

2. Davatelji podataka

UslugaPrimaSvrha
GoPlus SecurityAdresa i identifikator lancaPodaci o riziku tokena i novčanika
Naš vlastiti Cloudflare radnikAdresa i identifikator lancaProxy za lance gdje je izravan poziv preglednika blokiran; sankcije i traženje druge ugovorne strane
Javni blockchain čvoroviAdresa, preko RadnikaSankcionira proročanstvo i upite druge strane
Cloudflare Web AnalyticsURL stranice i standardni metapodaci zahtjevaBrojenje pregleda stranice, bez kolačića
Google AdSenseURL stranice i standardni metapodaci zahtjevaOglašavanje na bočnim ogradama, na pet stranica koje ga nose

Ni za što od toga nije potreban račun. Nitko od njih ne dobiva dostavljeni skenirani tekst, nalaz, presudu ili adresu izvučenu iz poruke.

Oglašavački kod je najnoviji unos i onaj o kojem vrijedi biti precizan. Učitava se na pet od jedanaest stranica. Šest koji ne sadrže reklame - četiri vodiča koji objašnjavaju prijevaru temeljenu na porukama, plus pravila o privatnosti i uvjeti - hostovima za oglašavanje oduzeta su njihova vlastita Content-Security-Policy kao i njihove oznake. Budući da preglednik kombinira metapravilo stranice sa zaglavljem odgovora i nameće presjek, te stranice ne mogu učitati oglas iako zaglavlje na cijeloj web-lokaciji još uvijek dopušta hostove za stranice koje ga nose. Popis ruta i razlog za svaki unos nalaze se u apply-ads.js. Dobiva adresu stranice i ništa više. Oglasna mjesta su position: fixed u olucima stranice, tako da nisu unutar oznake rezultata i uopće se ne prikazuju ispod 1280 piksela. Test u paketu korisničkog sučelja potvrđuje da se nijedan oglasni element ne pojavljuje unutar spremnika rezultata, da dva mjesta ne sadrže interpolaciju predloška i da nijednom globalnom oglasu nikada nije dodijeljen skenirani tekst.

Usmjeravanje pružatelja usluga

Prvi izravni poziv, drugi proxy, po lancu. Odgovor s ograničenjem brzine nikad se ne pokušava ponovno putem dijeljenog proxyja — time bi se potrošila zajednička kvota na zahtjev koji je već odbijen i na kraju bi se proxy ograničio za sve. Šesnaest testova drži ovaj poredak.

3. Proročište sankcija

Chainalysis Sanctions Oracle je besplatni pametni ugovor s javnom pozivom koji odgovara je li adresa trenutno na popisu sankcija. Nema računa, nema API ključa.

Provjereno je, a ne vjerovalo mu se: adresa ugovora je unakrsno provjerena izravno na Etherscanu, a birač funkcija je izračunat i potvrđen u odnosu na raspoređeni bajt kod. Ovdje je aktivan na 8 od svojih 9 postavljenih lanaca.

Iskreno ograničenje. Neovisna revizija otkrila je stvarne nedostatke između stupanja na snagu oznake i proročanstva koje to odražava - više od 90 dana u jednom dokumentiranom slučaju. Podudaranje se prijavljuje kao podudaranje s proročištem u trenutku upita. To nije bezuvjetno jamstvo trenutnog statusa sankcija i ovaj ga proizvod ne opisuje kao takvo.

Izloženost nije krivnja. Adrese su pseudonimne, sredstva prolaze kroz njih bez pristanka vlasnika, a interakcija s označenom adresom nije dokaz da je bilo tko pogriješio.

4. Nedavna provjera druge ugovorne strane

Ograničeni, otkriveni prozor nedavnih prijenosa tokena, unakrsno provjeren s istim proročištem.

Što nije: povijest transakcija. Ta mogućnost ne postoji na razini protokola za bilo koji lanac bez usluge indeksiranja, a ovaj proizvod je ne pokreće. Također ne vidi prijenos izvorne imovine — samo prijenos tokena.

Jedna sankcionirana druga ugovorna strana pomiče rezultat u CAUTION. Ne forsira FAIL. To poništavanje ostaje rezervirano za vlastitu adresu novčanika koja je izravno naznačena, jer spajanje "ovaj novčanik je određen" s "ovaj novčanik je primio nešto s naznačene adrese" jedina je pogreška koja se najvjerojatnije tumači kao optužba o stvarnoj osobi.

Kvar radnika ovdje vraća INSUFFICIENT DATA. Nikada se tiho ne ispušta i nikada se ne prikazuje kao čisti red.

5. Kategorije detekcije poruka

Dvadeset sedam determinističkih pravila u šest obitelji. Nijedan jezični model se ne poziva i ništa u predanom tekstu se nikada ne izvršava — motor to čita na način na koji to radi provjera pravopisa.

  1. Skriveni i nevidljivi znakovi. Znakovi nulte širine, dvosmjerna nadjačavanja koja mijenjaju redoslijed onoga što se prikazuje i blok Unicode oznaka — kodne točke koje se ne prikazuju kao ništa i mogu sadržavati cijelu skrivenu uputu unutar bezazlene rečenice. Zamjena homoglifa je uhvaćena u istom prolazu.
  2. Skrivena oznaka. Upute skrivene u komentarima, u elementima stiliziranim da budu nevidljivi ili u atributima koje čitatelj nikada ne vidi.
  3. Kodirani korisni učinci. Base64 i slična kodiranja koja nose tekst koji nikada nije namijenjen čitanju od strane osobe koja ga lijepi.
  4. Nadjačavanje uputa. Brzo ubacivanje: tekst upućen AI sustavu, a ne čitatelju. Uključuje pokušaje usmjerene na sam skener, koji su prijavljeni kao najjači nalaz, a ne kao pogreška.
  5. Traženje vjerodajnica. Zahtjevi za početnom frazom, riječima za oporavak, privatnim ključem, lozinkom ili kodom od dva faktora, u frazama koje se koriste da bi zvučale rutinski.
  6. Struktura veze. Odredišta skrivena ispred znaka @, goli IP hostovi, punycode domene koje se prikazuju kao potpuno različiti nazivi, skraćivači, pouzdana imena robnih marki postavljena tamo gdje nemaju autoritet, domene napisane da bi se krivo protumačile kao robna marka, domene koje nose robnu marku novčanika s priloženim dodatnim riječima i dugi kodirani sadržaj upita.

Dvije od njih bile su neispravne do 19. rujna 2026. i obje su ovdje zabilježene, a ne tiho ispravljene.

Lažni alarm. Odlučivanje o tome nalazi li se ime robne marke na mjestu pravog vlasnika zahtijeva znanje gdje završava javni sufiks domene. Motor je uzeo posljednje dvije oznake, koje čitaju vlasnika coinbase.co.uk kao co.uk — tako da je obična legitimna veza proizvela VISOK nalaz lažnog predstavljanja marke.

Odakle dolazi granica sufiksa

Motor sada nosi tablicu javnih sufiksa s više oznaka. Ta tablica je datiran podskup javnog popisa sufiksa, a ne sam popis , i kao takav je označen u izvoru. Uzvodni popis ima otprilike petnaest tisuća unosa i mijenja se svakih nekoliko tjedana; ugrađivanje zamrznute kopije svega toga na stranicu koja mora ostati mala bila bi ustajala ovisnost predstavljena kao mjerodavna. Isporučena tablica pokriva drugu razinu koda države koju obične stranice koriste i u potpunosti izostavlja zamjenske znakove i pravila iznimke uzvodnog popisa jer ih jednostavni test članstva ne može izraziti.

build-suffixes.js regenerira tablicu iz uzvodnog popisa i označava je datumom kad je snimljena. Odbija napisati tablicu koju nije mogao dohvatiti i odbija napisati onu koja ne prolazi vlastite provjere zdravog razuma - tiho pogrešna tablica sufiksa gora je od vidljivo stare. Hosting sufiksi kao što je github.io isključeni su namjerno: tamo je oznaku stvarno registrirao onaj tko ju je tražio, tako da je robna marka novčanika koja se nalazi na jednoj vrijedna označavanja, a ne opravdanja.

Neriješena granica se nikad ne pogađa. Ovo je dio koji zaustavlja vraćanje izvorne greške u novom obliku. Kada host završava sufiksom, tablica ne nosi i ima oblik registra kodova zemlje — dvoslovni kod zemlje s kratkom administrativnom oznakom ispred njega, poput pravog msk.ru ili nom.za — granica se prijavljuje kao nepoznata. Svaka prosudba o marki se zatim uskraćuje, a čitatelju se kaže da se vlasništvo ne može utvrditi, umjesto da mu se kaže da stranica lažno predstavlja nekoga. Propušteno otkrivanje neobičnog sufiksa manji je neuspjeh nego reći nekome da prava web stranica njihove banke lažno predstavlja njihovu banku.

Slijepa točka. Najčešći trik s vezom koji je u optjecaju — registracija domene koja je pogrešno napisana, metarnask za metamask — uopće nije otkriven. Sada je tako, testiranjem svih načina na koje bi pogled mogao pročitati ime, a ne svođenjem na jedno pravopisno: znamenka 1 označava l u jednoj domeni i i u sljedećoj, tako da jedan normalizacijski prolaz hvata jedno i promašuje drugo.

Što još nedostaje. Obična pravopisna pogreška bez znaka koji se može zbuniti — metamsk.io — nije uhvaćen. Postoji test u paketu koji tvrdi da nije, tako da jaz ostaje poznata količina umjesto da postane iznenađenje. Motor također nikada ne rješava skraćenu vezu: praćenje adrese koju je odabrao stranac je napad, tako da se skraćenica prijavljuje kao nerazriješena, a ne proširena.

Svaki nalaz nosi identifikator pravila, ozbiljnost, pouzdanost, točne pomake znakova gdje se podudaraju i jednostavno objašnjenje na engleskom.

Obrazovanje nije izvršenje

"Nikad ni s kim ne dijelite svoju seed frazu" i "pošaljite mi svoju seed frazu da provjerim vaš novčanik" sadrže gotovo iste riječi. Skener koji označi prvi je gore nego beskoristan - trenira ljude da ga ignoriraju.

Stroj odvaja instrukcije od objašnjenja koristeći rezultat direktive plus eksplicitno rukovanje savjetodavnom negacijom. Ovo je bilo pogrešno prvi put: rana verzija vratila je FAIL na legitiman sigurnosni članak o sigurnosti seed fraze. Datoteka kontradiktornog pregleda koja ga je uhvatila sada je stalni dio paketa.

Poznati lažno pozitivni slučajevi, čuvani kao testovi

6. Politika kombiniranja

Zalijepljena poruka nije jedna stvar. To je tekst, plus veze, plus adrese, a svaki dobiva različitu provjeru s različitim pokrivanjem i različitim prazninama. Njihovo spajanje u jedan rezultat uništava informacije koje su najvažnije: koji je dio opasan.

PASS < INSUFFICIENT DATA < CAUTION < FAIL

Najgora pojedinačna komponenta kontrolira navođenje i ništa je ne nadmašuje. Nema rezultata, nema ponderiranog prosjeka, nema većine.

INSUFFICIENT DATA nalazi se iznad PASS jer ne znati nije isto što i biti jasan. Smješten je ispod CAUTION jer određeni uočeni problem nadmašuje nedostatak informacija. Nikada ne može maskirati FAIL.

Posljedice vidljive u sučelju:

0x adresa ne nosi lanac, tako da je redak zadani Ethereum, navodi da lanac nije naveden u tekstu i nudi birač. Promjenom lanca odbacuje se prethodni rezultat jer rezultat za Ethereum nije rezultat za BNB lanac.

Vrste skeniranja

Pet tipova proizvodnje: crypto_address_scan, token_scan, wallet_scan, prompt_scan, message_scan. Svaki iza sebe ima motor.

file_scan je rezerviran i namjerno nije konstruktivan. Tjedan dana je stajao na popisu proizvodnje bez ičega; ništa se nije pokvarilo, jer ga ništa nije zvalo, upravo zato je i uklonjeno. Ime je zahtjev.

7. Gdje je koja adresa pronađena

Ekstrakcija bilježi pomake znakova, tako da je svaka adresa prikazana s linijom u kojoj se pojavila i adresom označenom unutar nje. "Pošalji 0,5 ETH na 0x..." i "ugovor na 0x... je revidiran" različite su situacije, a adresa ispisana bez rečenice je tvrdnja bez porijekla.

Pomaci se hvataju jednom za vrijeme skeniranja, a ne ponovno izvode prilikom iscrtavanja traženjem niza — adresa koja se pojavljuje dva puta inače bi istaknula isto pojavljivanje oba puta.

Veze istraživača blokova dolaze iz fiksne tablice koja pokriva 14 lanaca EVM, Solana i TRON. Lanac ili ima poznatog istraživača ili redak kaže da ga nema. Ništa ne pogađa URL. Veza je poveznica, a ne traženje: zahtjev se ne postavlja dok ne kliknete na nju.

8. Provjera privatnosti

Tvrdnja o privatnosti skeniranja poruka nije izvedena iz čitanja izvora. Provjereno je u odnosu na postavljeno mjesto s uključenim mrežnim snimanjem prije akcije.

Metoda . Zalijepljena je i skenirana poruka koja sadrži jedinstveni canary niz, URL za krađu identiteta, zahtjev za početnom frazom i sadržaj ubrizgavanja.

Ovo je ponovno pokrenuto nakon što je dodan brojač pregleda stranice, kako bi se potvrdilo da brojač ne mijenja rezultat.

Zadržavanje. Ovaj proizvod ne pohranjuje ništa. Nema baze podataka, nema sustava računa, nema dnevnika dostavljenog sadržaja na strani poslužitelja i nema pohrane skeniranog teksta u pregledniku. Treće strane navedene u odjeljku 2 vode vlastitu evidenciju u skladu sa svojim politikama, koje mi ne kontroliramo i ne opisujemo u njihovo ime.

9. Skup testova

Tvrdnja o strogosti vrijedi točno onoliko koliko i svita iza nje. Ona pokrivaju materijalno različita jamstva i zbog toga se zasebno iskazuju.

SvitaTvrdnjeOno što drži
Motor za poruke176Svaka obitelj otkrivanja, granica obrazovanja naspram izvršenja, izdvajanje adresa, izvatci konteksta i veze istraživača
UI / integracija / XSS81Kôd koji je stvarno ugrađen u stranicu, uključujući potpuni paket za skriptiranje između web-mjesta i provjere izolacije od oglašavanja
Regresija motora adrese61Oznake presude za zlonamjerne, benigne, djelomične, kontradiktorne i neispravne podatke pružatelja usluga
Model skeniranja57Politika kombiniranja, iscrpno - uključujući da se jedna neispravna komponenta nikada ne razrjeđuje
Usmjeravanje pružatelja usluga16Direct-then-proxy naručivanje po lancu; poziv s ograničenjem brzine nikad se ne pokušava ponovno putem zajedničkog proxyja
Kontradiktorna revizija20Izlaz motora ocijenjen prema pažljivom ljudskom očitavanju, uključujući benigne slučajeve
Objavljene stranice51Svaki radni primjer i dalje donosi svoju navedenu presudu, svaka sposobnost za koju vodiči tvrde da je ona koju izvodi motor, niti jedan vodič ne ispisuje adresu koja se može razriješiti, a stanje reklamiranja svake stranice odgovara politici rute i u njezinom označavanju i u vlastitoj Content-Security-Policy
Ukupno462

Detekcija pomaka

Skener je jedna samostalna datoteka, tako da svaki mehanizam postoji dva puta - jednom kao vlastiti modul, jednom ugrađen u stranicu. Provjera izrade ih uspoređuje i glasno pada ako se ne slažu.

Dodano je nakon što se upravo to dogodilo: popravak je postojao u modulu koji nitko ne učitava, otpremajući pokvareni put lančanog usmjeravanja tjedan dana dok su vlastiti testovi modula prolazili.

Detektiranje zanošenja bilo je samo pola toga, jer je preostala polovica bila osoba koja se sjetila ponovno zalijepiti. Od 19. rujna 2026. druga skripta sama izvodi kopiranje, iz modula na stranicu, i odbija pisati bilo što ako orijentir nedostaje — napola napisana stranica je gora od ustajale, jer ustajala i dalje radi.

Cross-site scripting

Ova značajka preuzima neprijateljski tekst od stranca i ispisuje ga natrag na stranicu. Svaka se vrijednost izbjegava, uključujući tekst odgovora davatelja sigurnosti, jer krivotvoreni ili kompromitirani uzvodni odgovor također ne smije postati oznaka.

Jedini inline rukovatelji koje iscrtivač emitira su fiksni literali plus cjelobrojni indeks, a test potvrđuje upravo to. Jedini element veze koji rezultat može sadržavati — veza istraživača blokova — odgovara u XSS paketu uzorkom koji je dovoljno uzak da bude tvrdnja: samo https, host iz fiksne tablice i tijelo adrese bez navodnika, razmaka ili zagrada.

10. Sigurnosna zaglavlja

Postavite kao zaglavlja odgovora, ne samo kao meta oznaku. Politika metaoznaka štiti samo taj HTML dokument; ostavio je robots.txt, sitemap.xml i slike bez ikakvih pravila.

Provjereno u odnosu na stvarne odgovore dvjema neovisnim metodama, koje se ne pretpostavljaju iz prisutnosti konfiguracijske datoteke.

Koliko košta promjena oglašavanja

Vrijedi jasno zabilježiti, jer se radi o stvarnom smanjenju, a prethodna verzija ove stranice tvrdila je suprotno.

Prije oglašavanja, connect-src je bio strukturno jamstvo: sam preglednik bi odbio poslati podatke skeniranja bilo gdje osim dva imenovana hosta, što god kod stranice radio, uključujući kod uveden greškom ili napadačem. Googleove krajnje točke oglasa sada su na tom popisu, tako da jamstvo više nije strukturno — ono počiva na kodu stranice koji ne predaje skenirani sadržaj oglasnoj skripti.

To svojstvo sada drži test, a ne preglednik. To je slabija vrsta uvjerenja i radije bismo to rekli nego pustili stariju, jaču rečenicu da stoji kad više nije istinita. script-src također je dobio 'unsafe-inline' na stranicama dokumenta, koji ga prije nisu trebali.

Pravila predmemorije

HTML se mora ponovno potvrditi pri svakom učitavanju. Bez toga, posjetitelj koji se vraća zadržava jučerašnji motor nakon postavljanja — što za sigurnosni alat znači pokretanje pravila otkrivanja koja su već ispravljena. Slike su teško predmemorirane. Datoteke usmjerene indeksiranju dobivaju jedan sat, dovoljno kratak da se ispravak podigne isti dan.

11. Odgođene sposobnosti

Nazvani ovdje kako bi ostali izbor, a ne iznenađenja. Ništa od ovoga danas ne postoji:

Sljedeće na redu: statički Markdown i skeniranje HTML-a, a nakon toga pregled može li se ograničena trijaža JavaScripta sigurno izložiti.

12. Poznate praznine

13. Povijest verzija

v1
Provjera adresa i tokena na EVM lancima, jedan pružatelj.
v2
Solana, Sui i TRON adapteri. Sanctions oracle verified and wired in. Provider routing with proxy fallback. Detekcija drifta dodana je nakon jednotjedne tihe regresije.
v3.0
Poruka i brzo skeniranje u pregledniku. Jedinstveni model rezultata i kombinirana politika. Nedavna provjera druge ugovorne strane. Pravne stranice, analitika bez kolačića i odjeljak s vodičima.
Scan engine v0.2.0
Dvadeset sedam pravila. Dodano otkrivanje za promjenu primatelja u središtu poruke, nabrajanje mogućnosti i nadjačavanje fraza koje su posvojni ili pridjev prethodno pobijedili. Sve tri praznine pronađene su skeniranjem našeg vlastitog objavljenog primjera i dobivanjem slabijeg rezultata od onoga što je tvrdio članak.
Model rezultata v1.0.0
Pet tipova proizvodnog skeniranja, ljestvica presude i pravilo da najgora komponenta pobjeđuje.

14. Rječnik

Novčanik
Drži ključeve koji kontroliraju vašu kripto; omogućuje slanje, primanje ili interakciju s njim.
Privatni ključ / početni izraz
Tajna koja dokazuje vlasništvo i premješta sredstva. Nikada to ne dijelite — ni sa SaveSaveSaveSave, ni s kim. Ništa legitimno to nikada ne treba.
Pametni ugovor
Samoizvršavajući kod na blockchainu koji definira kako se token ili aplikacija ponašaju.
Posuda za med
Token izgrađen tako da se može kupiti, ali ne i prodati.
Autoritet kovnice novca
Mogućnost stvaranja novih zaliha nakon lansiranja. Nije automatski opasno - bez obzira vrijedi znati.
Prompt injection
Text written to be read by an AI system rather than by you, instructing it to ignore its rules or act against your interest. Djeluje bez obzira primijetite li vi to.
Homoglif
Znak iz jedne abecede koji izgleda identično jednom iz druge abecede — koristi se da se lažno ime čita kao pravo.
Punycode
Način pisanja naziva domene koji se može prikazati u pregledniku kao potpuno drugačiji naziv. Standardna metoda za lažiranje poznate domene.
Proročište sankcija
Javno pozivani pametni ugovor koji odgovara je li adresa trenutno sankcionirana — besplatno, u lancu, nije potreban račun.
Protustrana
Adresa s kojom je novčanik izravno izvršio transakciju. Izloženost rizičnoj drugoj ugovornoj strani nije isto što i sam novčanik koji je rizičan.
INSUFFICIENT DATA
Sam rezultat, a ne meko dodavanje. Provjera nije mogla biti dovršena - ni ovako se ništa ne zna.
Pristup samo za čitanje
Dopuštenje za pregled, nikada za promjenu, premještanje ili trošenje.

Ispravci su dobrodošli putem alata za praćenje problema projekta ili putem e-pošte na savesavesavesave@tuta.io . Ako tu nešto nije u redu, poanta je da se to javno kaže. Tvrdnja u ovom dokumentu koja je odstupila od koda je bug i vrijedi ga prijaviti.