Przejrzystość techniczna · Wrzesień 2026 r

Jak to faktycznie działa

Każde roszczenie w Zanim zaczniesz działać, wraz ze szczegółami za nim.

Ten dokument nie jest potrzebny do korzystania z produktu. Istnieje po to, aby każdy, kto chce sprawdzić twierdzenia, mógł je sprawdzić, także te niepochlebne.

Silnik skanowania v0.2.0 · model wynikowy v1.0.0 .

1. Pokrycie łańcucha

Aptos został oceniony i nie został zbudowany. Pojawia się w materiałach marketingowych dostawcy danych, ale nie udało się potwierdzić żadnego sprawdzalnego technicznego punktu końcowego, dlatego nie jest uznawany za obsługiwany.

Kolizje formatu adresu

Typ adresu jest wykrywany automatycznie. Cztery obsługiwane formaty nie pokrywają się pod względem konstrukcyjnym, ale warto było obliczyć dwie kolizje, a nie zakładać:

• TRON przeciwko Solanie. Obydwa korzystają z base58. Adres TRON to T plus 33 znaki; prawdopodobieństwo, że ważny klucz Solana będzie również zgodny ze wzorem TRON, obliczono na około 1 do 400 biliardów.
• Bitcoin przeciwko Solanie. Ten jest prawdziwy i został znaleziony w drodze testu kontradyktoryjnego, a nie na podstawie rozumowania. Starsze adresy Bitcoin również są oparte na base58, zaczynają się od 1 lub 3 i zawierają 26–35 znaków. Minęli każdego strażnika gęstości. Klucz publiczny Solana ma 32 bajty, co w praktyce sprowadza się do 43–44 znaków base58, więc krótki kandydat z prefiksem Bitcoin jest odrzucany. Oferowanie skanowania Solana adresu Bitcoin byłoby gorsze niż cisza.

Celowo wykluczono również: adresy bech32, takie jak bc1… (poza alfabetem base58), identyfikatory treści IPFS, 64-znakowe skróty transakcji, które zawierają w sobie poprawnie wyglądający 40-szesnastkowy adres EVM oraz nazwy ENS, takie jak vitalik.eth, które są tłumaczone na adres, ale tylko poprzez wyszukiwanie, którego ta strona nigdy nie wykonuje.

2. Dostawcy danych

Do żadnego z nich nie jest wymagane konto. Żaden z nich nie otrzymuje przesłanego tekstu skanu, ustaleń, werdyktu ani adresu wyodrębnionego z wiadomości.

Kod reklamowy jest najnowszym wpisem i wartym doprecyzowania. Jest załadowany na pięciu z jedenastu stron. W przypadku sześciu nie zawierających reklam – czterech przewodników wyjaśniających oszustwa oparte na komunikatach, a także politykę prywatności i warunki – usunięto hostów reklamowych z ich własnej Polityki bezpieczeństwa treści i znaczników. Ponieważ przeglądarka łączy metazasady strony z nagłówkiem odpowiedzi i wymusza przecięcie, strony te nie mogą załadować reklamy, mimo że nagłówek obejmujący całą witrynę nadal zezwala na hosty stron, które ją zawierają. Lista tras i powód każdego wpisu znajdują się w apply-ads.js . Podaje adres strony i nic więcej. Boksy reklamowe to position: fixed w rynnach strony, więc nie znajdują się w znacznikach wyników i w ogóle nie są renderowane w rozdzielczości poniżej 1280 pikseli. Test w pakiecie interfejsu użytkownika potwierdza, że ​​w kontenerze wyników nie pojawia się żaden element reklamy, że oba boksy nie zawierają interpolacji szablonu i że do żadnej globalnej reklamy nie jest nigdy przypisany zeskanowany tekst.

Trasowanie dostawcy

Najpierw połączenie bezpośrednie, drugie proxy, na łańcuch. Odpowiedź z ograniczoną szybkością nigdy nie jest ponawiana za pośrednictwem współdzielonego serwera proxy — spowodowałoby to wykorzystanie współdzielonego przydziału na żądanie, które zostało już odrzucone, i ostatecznie spowodowałoby ograniczenie serwera proxy dla wszystkich. Szesnaście testów wstrzymuje tę kolejność.

3. Wyrocznia sankcji

Sankcje dotyczące analizy łańcuchowej Oracle to bezpłatna, publicznie wywoływalna inteligentna umowa, która odpowiada, czy adres znajduje się obecnie na liście sankcji. Żadnego konta, żadnego klucza API.

Został raczej zweryfikowany niż zaufany: adres kontraktu został sprawdzony bezpośrednio w Etherscan, a selektor funkcji został obliczony i potwierdzony na podstawie zastosowanego kodu bajtowego. Działa tutaj w 8 z 9 rozmieszczonych łańcuchów.

Uczciwe ograniczenie. Niezależny przegląd wykazał rzeczywiste luki pomiędzy wejściem w życie wyznaczenia a odzwierciedlającą je wyrocznią – w jednym udokumentowanym przypadku ponad 90 dni. Dopasowanie jest zgłaszane jako dopasowanie do wyroczni w momencie zapytania. Nie jest to bezwarunkowa gwarancja aktualnego statusu sankcji i niniejszy produkt tak nie opisuje.

Narażenie nie jest winą. Adresy są pseudonimowe, środki przechodzą przez nie bez zgody właściciela, a interakcja z oznaczonym adresem nie jest dowodem na czyjeś niewłaściwe postępowanie.

4. Niedawne sprawdzenie kontrahenta

Ograniczone, ujawnione okno ostatnich transferów tokenów, sprawdzone krzyżowo z tą samą wyrocznią.

Czym to nie jest: historia transakcji. Taka możliwość nie istnieje na poziomie protokołu w żadnym łańcuchu bez usługi indeksowania, a ten produkt jej nie obsługuje. Nie widzi również transferów zasobów natywnych – tylko transfery tokenów.

Jeden kontrahent objęty sankcjami przenosi wynik do CAUTION. Nie wymusza FAIL . To zastąpienie pozostaje zarezerwowane dla bezpośredniego wyznaczenia adresu portfela, ponieważ połączenie „ten portfel jest wyznaczony” z „ten portfel otrzymał coś z wyznaczonego adresu” to pojedynczy błąd, który najprawdopodobniej zostanie odczytany jako oskarżenie pod adresem prawdziwej osoby.

Awaria procesu roboczego zwraca tutaj INSUFFICIENT DATA. Nigdy nie jest on dyskretnie usuwany i nigdy nie jest renderowany jako czysty wiersz.

5. Kategorie wykrywania wiadomości

Dwadzieścia siedem reguł deterministycznych w sześciu rodzinach. Nie jest wywoływany żaden model języka i nic w przesłanym tekście nie jest nigdy wykonywane — silnik odczytuje go w taki sam sposób, jak robi to moduł sprawdzania pisowni.

1. Znaki ukryte i niewidoczne. Znaki o zerowej szerokości, dwukierunkowe nadpisania zmieniające kolejność wyświetlanego tekstu oraz blok znaczników Unicode — punkty kodowe, które w ogóle nie są renderowane i mogą zawierać całą ukrytą instrukcję w nieszkodliwym zdaniu. Podstawianie homoglifów jest uwzględniane w tym samym przebiegu.
2. Ukryte znaczniki. Instrukcje ukryte w komentarzach, elementach stylizowanych na niewidoczne lub w atrybutach, których czytelnik nigdy nie widzi.
3. Zakodowane ładunki. Base64 i podobne kodowania zawierające tekst, który nigdy nie powinien być czytany przez osobę, która go wkleja.
4. Ominięcie instrukcji. Wstrzykiwanie podpowiedzi: tekst adresowany do systemu AI, a nie do czytelnika. Obejmuje próby mające na celu sam skaner, które są zgłaszane jako najsilniejsze wyniki, a nie jako błąd.
5. Pozyskiwanie danych uwierzytelniających. Żądania frazy początkowej, słów odzyskiwania, klucza prywatnego, hasła lub kodu dwuskładnikowego, w sformułowaniach, które sprawiają, że brzmią rutynowo.
6. Struktura łącza. Miejsca docelowe ukryte przed znakiem @, czyste hosty IP, domeny punycode wyświetlane jako całkowicie inne nazwy, skracacze, zaufane nazwy marek umieszczane tam, gdzie nie mają żadnego autorytetu, domeny pisane tak, aby można je było błędnie odczytać jako marka, domeny noszące markę portfela z dołączonymi dodatkowymi słowami i długo zakodowane ładunki zapytań.

Co sprawdzanie łączy jest błędne i czego brakuje

Dwa z nich były wadliwe do 19 września 2026 r. i oba zostały tutaj zapisane, a nie po cichu poprawione.

Fałszywy alarm. Podjęcie decyzji, czy marka zajmuje rzeczywiste stanowisko właściciela, wymaga wiedzy, gdzie kończy się publiczny sufiks domeny. Silnik przyjął dwie ostatnie etykiety, na których właściciel coinbase.co.uk widnieje jako co.uk — zatem zwykły, legalny link dał WYSOKI wynik podszywania się pod markę.

Skąd pochodzi granica przyrostka

Silnik zawiera teraz tabelę publicznych sufiksów z wieloma etykietami. Ta tabela jest datowanym podzbiorem publicznej listy sufiksów, a nie samą listą i jako taka jest oznaczona w źródle. Lista nadrzędna liczy około piętnastu tysięcy wpisów i zmienia się co kilka tygodni; osadzenie zamrożonej kopii wszystkiego na stronie, która musi pozostać mała, byłoby przestarzałą zależnością przedstawianą jako wiarygodną. Dostarczona tabela obejmuje drugi poziom kodu kraju używany przez zwykłe witryny i całkowicie pomija reguły dotyczące symboli wieloznacznych i wyjątków listy nadrzędnej, ponieważ prosty test członkostwa nie jest w stanie ich wyrazić.

build-suffixes.js ponownie generuje tabelę z listy źródłowej i stempluje ją datą jej wykonania. Odmawia napisania tabeli, której nie mógł pobrać, i odmawia napisania takiej, która nie przeszła pomyślnie kontroli poprawności — cicha błędna tabela sufiksów jest gorsza niż widocznie stara. Sufiksy hostingowe, takie jak github.io, są celowo wykluczane: tam etykieta naprawdę jest zarejestrowana przez każdego, kto o nią poprosił, więc markę portfela znajdującą się na jednej z nich warto raczej oflagować niż usprawiedliwiać.

Nierozwiązana granica nigdy nie jest zgadywana. Jest to część, która zapobiega powrotowi pierwotnego błędu w nowej formie. Kiedy host kończy się sufiksem, tabela nie zawiera i ma kształt rejestru kodów kraju — dwuliterowego kodu kraju z krótką etykietą administracyjną przed nim, jak prawdziwe msk.ru lub nom.za — granica jest zgłaszana jako nieznana. Następnie wstrzymuje się jakąkolwiek ocenę marki, a czytelnik otrzymuje informację, że nie można ustalić własności, a nie, że witryna podszywa się pod kogoś. Niewykrycie nietypowego sufiksu jest mniejszą porażką niż poinformowanie kogoś, że prawdziwa witryna internetowa jego banku podszywa się pod jego bank.

Martwy punkt. Najpopularniejsza sztuczka z linkami — rejestrowanie domeny z pisownią w celu błędnego odczytania, metarnask dla metamask — nie została w ogóle wykryta. Dzieje się tak teraz, testując każdy sposób, w jaki rzut oka może odczytać nazwę, zamiast ograniczać ją do jednej pisowni: cyfra 1 oznacza l w jednej domenie i i w drugiej, więc pojedynczy przebieg normalizacyjny wyłapuje jedno i pomija drugą.

Czego jeszcze brakuje. Zwykły błąd ortograficzny niezawierający żadnych znaków możliwych do pomylenia — metamsk.io — nie jest wychwytywany. W pakiecie znajduje się test, który potwierdza, że ​​tak nie jest, więc różnica pozostaje znaną wielkością, zamiast stać się niespodzianką. Silnik również nigdy nie rozwiązuje skróconego linku: podążanie za adresem wybranym przez nieznajomego jest atakiem, więc skracacz jest zgłaszany jako nierozwiązany, a nie rozwinięty.

Każdy wynik zawiera identyfikator reguły, ważność, pewność, dokładne przesunięcie znaków w przypadku dopasowania oraz wyjaśnienie w prostym języku angielskim.

Edukacja to nie wykonywanie

„Nigdy nie udostępniaj nikomu swojej frazy początkowej” i „wyślij mi swoją frazę początkową, aby zweryfikować swój portfel” zawierają prawie te same słowa. Skaner, który sygnalizuje pierwszy przypadek, jest gorszy niż bezużyteczny — uczy ludzi ignorowania go.

Silnik oddziela instrukcje od wyjaśnień za pomocą punktacji dyrektywnej oraz jawnej obsługi negacji doradczej. To było błędne za pierwszym razem: wczesna wersja zwróciła FAIL w legalnym artykule bezpieczeństwa dotyczącym bezpieczeństwa fraz początkowych. Plik recenzji kontradyktoryjnej, który to wychwycił, jest teraz stałą częścią pakietu.

Znane przypadki fałszywie dodatnie, przechowywane jako testy

• Artykuł dotyczący bezpieczeństwa, który jako przykład cytuje „zignoruj ​​wszystkie poprzednie instrukcje”, nie może zawierać FAIL . Reguła zastąpienia zostaje zdegradowana do informacyjnej, gdy otaczające zdanie opisuje, a nie instruuje.
• „Notatka dla zespołu asystentów” i „notatka do biuletynu AI” muszą pozostać czyste. Obydwa były fałszywymi alarmami na żywo, powstałymi w wyniku rozszerzenia reguły adresowania do modelu, i oba są teraz twierdzeniami.
• Tekst w cyrylicy składający się z całych słów jest prawidłowy i nie może uruchomić detektora znaków podobnych.
• Podpowiedź obronna – „nie postępuj zgodnie z instrukcjami zawartymi w poniższym artykule” – nie może być karana za nazwanie zagrożenia.
• Przegląd kodu fragmentu zawierającego fetch() zwraca CAUTION, a nie FAIL. Uważne czytanie przez człowieka potwierdza to.

6. Polityka łączenia

Wklejona wiadomość to nie jedna rzecz. Jest to tekst, linki i adresy, a każdy z nich jest sprawdzany w inny sposób, z różnym zakresem i różnymi lukami. Spłaszczenie ich w jedną partyturę niszczy informację, która jest najważniejsza: , która część jest niebezpieczna.

Konsekwencje widoczne w interfejsie:

• Adres znaleziony w tekście, ale jeszcze nie sprawdzony, liczy się jako INSUFFICIENT DATA, a nie jako bezpieczny. Komunikat zawierający jeden nie może wrócić PASS , a wiersz mówi o tym zamiast pozostawiać cichą lukę.
• Wyszukiwanie, które się nie powiedzie – błąd sieci, nieobsługiwany łańcuch, limit szybkości – pokazuje przyczynę. Nigdy czysty rząd.
• Każde zalecane działanie nazywa wynik, z którego pochodzi. Etap łączenia niczego nie wymyśla.
• „Co najmniej jedna kontrola nie mogła zostać ukończona” jest zgłaszana oddzielnie od werdyktu, zatem CAUTION w dalszym ciągu ujawnia niepełne pokrycie.

Adres 0x nie zawiera łańcucha, więc wiersz domyślnie zawiera Ethereum, stwierdza, że ​​łańcuch nie został określony w tekście i oferuje selektor. Zmiana łańcucha powoduje odrzucenie poprzedniego wyniku, ponieważ wynik dla Ethereum nie jest wynikiem dla Łańcucha BNB.

Typy skanowania

Pięć typów produkcji: crypto_address_scan, token_scan, wallet_scan, prompt_scan, message_scan. Za każdym z nich stoi silnik.

file_scan jest zastrzeżony i celowo niemożliwy do skonstruowania. Przez tydzień znajdował się na liście produkcyjnej i nic za nim nie było; nic się nie popsuło, bo nic tego nie nazwało i właśnie dlatego zostało usunięte. Imię jest żądaniem.

7. Gdzie znaleziono każdy adres

Ekstrakcja rejestruje przesunięcia znaków, więc każdy adres jest pokazany z linią, w której się pojawił, i adresem zaznaczonym w środku. „Wyślij 0,5 ETH do 0x…” i „umowa o godzinie 0x… została skontrolowana” to różne sytuacje, a adres wydrukowany bez zdania jest reklamacją bez pochodzenia.

Przesunięcia są przechwytywane raz w czasie skanowania, a nie wyliczane ponownie podczas renderowania poprzez wyszukiwanie ciągu znaków — adres pojawiający się dwukrotnie oznaczałby w przeciwnym razie za każdym razem podkreślenie tego samego wystąpienia.

Łącza eksploratora bloków pochodzą ze stałej tabeli obejmującej 14 łańcuchów EVM, Solana i TRON. Łańcuch albo ma znanego odkrywcę, albo wiersz mówi, że nie ma żadnego. Nic nie zgadnie adresu URL. Link jest łączem, a nie odnośnikiem: żadne żądanie nie zostanie przesłane, dopóki go nie klikniesz.

8. Weryfikacja prywatności

Oświadczenie o ochronie prywatności skanowania wiadomości nie wynika z lektury źródła. Przed akcją zweryfikowano to w odniesieniu do wdrożonej lokalizacji z uzbrojonym przechwytywaniem sieci.

Metoda . Wklejono i przeskanowano wiadomość zawierającą unikalny ciąg znaków typu canary, adres URL phishingowy, żądanie frazy początkowej oraz ładunek wstrzykiwania.

• Wynik 1: zero żądań sieciowych. Skanowanie dało werdykt FAIL całkowicie offline.
• Wynik 2: adres wyodrębniony z tej wiadomości został następnie jawnie sprawdzony. Do dostawcy zabezpieczeń wysłano dokładnie jedno żądanie zawierające adres i identyfikator łańcucha. Nie pojawił się w nim sznurek kanarkowy. Ani żadna inna część wiadomości.

Test ten przeprowadzono ponownie po dodaniu licznika odsłon strony, aby potwierdzić, że licznik nie zmienia wyniku.

Zatrzymanie. Ten produkt niczego nie przechowuje. Nie ma bazy danych, systemu kont, dziennika przesłanych treści po stronie serwera ani przechowywania zeskanowanego tekstu w przeglądarce. Osoby trzecie wymienione w ust. 2 prowadzą własną dokumentację zgodnie z własnymi politykami, których nie kontrolujemy i których nie opisujemy w ich imieniu.

9. Zestaw testów

Twierdzenie dotyczące rygoru jest warte dokładnie tyle samo, co leżący za nim pakiet. Obejmują one zasadniczo różne gwarancje i z tego powodu są wykazywane oddzielnie.

Wykrywanie dryfu

Skaner jest pojedynczym, samodzielnym plikiem, więc każdy silnik istnieje dwukrotnie – raz jako własny moduł, raz osadzony na stronie. Kontrola kompilacji porównuje je i kończy się głośnym niepowodzeniem, jeśli się nie zgadzają.

Zostało dodane dokładnie po tym, co się wydarzyło: poprawka pojawiła się w module, którego nikt nie ładuje, powodując uszkodzenie ścieżki routingu łańcucha przez tydzień, podczas gdy własne testy modułu przechodziły pomyślnie.

Wykrycie dryfu to tylko połowa sukcesu, ponieważ pozostałą połowę stanowiła osoba pamiętająca o ponownym wklejeniu. Od 19 września 2026 r. drugi skrypt sam wykonuje kopiowanie z modułów na stronę i w ogóle odmawia pisania czegokolwiek, jeśli brakuje punktu orientacyjnego — strona w połowie zapisana jest gorsza niż nieaktualna, ponieważ nieaktualna nadal działa.

Cross-site scripting

Ta funkcja pobiera wrogi tekst od nieznajomego i drukuje go z powrotem na stronie. Każda wartość, łącznie z tekstem odpowiedzi dostawcy zabezpieczeń, jest pomijana, ponieważ sfałszowana lub skompromitowana odpowiedź nadrzędna również nie może stać się znacznikiem.

Jedyne wbudowane procedury obsługi emitowane przez moduł renderujący to stałe literały plus indeks w postaci liczby całkowitej, a test dokładnie to potwierdza. Jedyny element łącza, który może zawierać wynik — łącze eksploratora bloków — jest dopasowywany w pakiecie XSS za pomocą wzorca na tyle wąskiego, że może być asercją: tylko https, host ze stałej tabeli i treść adresu niezawierająca cudzysłowu, spacji ani nawiasu.

10. Nagłówki zabezpieczające

Ustaw jako nagłówki odpowiedzi, a nie tylko jako metatag. Zasady metatagów chronią tylko ten dokument HTML; pozostawił robots.txt, sitemap.xml i obrazy bez żadnych zasad.

• Content-Security-Policy — default-src 'self', przy czym connect-src jest ograniczone do dostawcy zabezpieczeń, naszego pracownika, punktu końcowego analizy i punktów końcowych reklam Google.
• Strict-Transport-Security — jeden rok, łącznie z subdomenami, celowo nie jest wstępnie ładowany, aby pozostał odwracalny.
• X-Content-Type-Options: nosniff, X-Frame-Options: DENY, frame-ancestors 'none', Referrer-Policy: strict-origin-when-cross-origin, Cross-Origin-Opener-Policy: same-origin.
• Permissions-Policy — geolokalizacja, mikrofon, kamera, płatności i USB są wyłączone.

Sprawdzono w oparciu o rzeczywiste odpowiedzi dwoma niezależnymi metodami, których nie zakłada się na podstawie obecności pliku konfiguracyjnego.

Jaki jest koszt zmiany reklamy

Warto to wyraźnie odnotować, ponieważ jest to rzeczywista redukcja, a poprzednia wersja tej strony twierdziła inaczej.

Przed reklamą connect-src był strukturalną gwarancją : sama przeglądarka odmówiłaby wysłania danych skanowania gdziekolwiek z wyjątkiem dwóch nazwanych hostów, niezależnie od kodu strony, włączając kod wprowadzony przez pomyłkę lub przez osobę atakującą. Punkty końcowe reklam Google znajdują się teraz na tej liście, więc gwarancja nie ma już charakteru strukturalnego — opiera się na kodzie strony, który nie przekazuje zeskanowanej treści do skryptu reklamowego.

Ta właściwość jest teraz utrzymywana przez test, a nie przez przeglądarkę. Jest to słabszy rodzaj zapewnienia i wolelibyśmy to powiedzieć, niż pozwolić, aby starsze, mocniejsze zdanie pozostało w mocy, gdy nie jest już prawdziwe. script-src zyskało także 'unsafe-inline' na stronach dokumentów, które wcześniej tego nie potrzebowały.

Reguły pamięci podręcznej

HTML musi podlegać ponownej weryfikacji przy każdym ładowaniu. Bez tego powracający użytkownik po wdrożeniu zachowa wczorajszy silnik — co w przypadku narzędzia bezpieczeństwa oznacza uruchomienie reguł wykrywania, które zostały już poprawione. Obrazy są mocno buforowane. Pliki udostępniane robotom otrzymują jedną godzinę, czyli na tyle krótko, że poprawka jest pobierana tego samego dnia.

11. Odroczone możliwości

Nazwane tutaj, aby pozostać wyborem, a nie niespodzianką. Żaden z nich nie istnieje dzisiaj:

• Analiza semantyczna znaczenia komunikatu. Wykrywanie opiera się na wzorcach, więc technika sformułowana w nietypowy sposób może przejść niezauważona.
• Audyt bezpieczeństwa JavaScript.
• Dynamiczne wykonywanie lub piaskownica przesłanej treści.
• Skanowanie ZIP i zależności.
• Funkcja bezpiecznego ponownego zapisu.
• Rozszerzenie przeglądarki.
• Otwarte sprawdzanie zatwierdzenia tokena. Skaner odczytuje tokeny i adresy, a nie listę uprawnień portfela.
• Śledzenie lub pobieranie linków znalezionych w przesłanej treści. Linki są odczytywane pod kątem struktury i nigdy nie odwiedzane.

Następne w kolejce: statyczne skanowanie Markdown i HTML, a następnie sprawdzenie, czy można bezpiecznie ujawnić ograniczoną selekcję JavaScript.

12. Znane luki

• Nie można w ogóle sprawdzić pośredniego wstrzyknięcia monitu, ponieważ treść nigdy nie przechodzi przez osobę ani tę stronę.
• Czysty wynik oznacza, że ​​żaden pokryty wzór nie został dopasowany. Nie oznacza to, że tekst jest bezpieczny.
• Zasięg różni się w zależności od łańcucha i typu skanowania. Interfejs określa, który obsługuje co.
• Oznaczenia sankcji za opóźnienia wyroczni, jak opisano w sekcji 3.
• Sprawdzanie kontrahenta uwzględnia jedynie transfery tokenów w ograniczonym oknie.
• Sui nie zwraca od dostawcy żadnych danych dotyczących płynności ani posiadacza.
• Brak jakiejkolwiek obsługi Bitcoina.

13. Historia wersji

v1

Sprawdzanie adresów i tokenów w łańcuchach EVM, jeden dostawca.

v2

Adaptery Solana, Sui i TRON. Sankcje Oracle zweryfikowane i podłączone. Routing dostawcy z rezerwowym serwerem proxy. Dodano wykrywanie dryfu po tygodniowej cichej regresji.

v3.0

Skanowanie wiadomości i podpowiedzi w przeglądarce. Ujednolicony model wyników i polityka kombinacji. Niedawna kontrola kontrahenta. Strony prawne, analizy bez plików cookie i sekcja przewodników.

Silnik skanowania v0.2.0

Dwadzieścia siedem zasad. Dodano wykrywanie zmiany adresata w połowie wiadomości, wyliczanie możliwości i zastępowanie wyrażeń, które zostały wcześniej pokonane przez zaborczy lub przymiotnik. Wszystkie trzy luki znaleziono, skanując nasz własny opublikowany przykład i uzyskując słabszy wynik niż twierdził artykuł.

Model wynikowy wersja 1.0.0

Pięć typów skanowania produkcyjnego, drabinka werdyktów i zasada, że wygrywa najgorszy komponent.

14. Słowniczek

Portfel

Przechowuje klucze kontrolujące Twoje kryptowaluty; umożliwia wysyłanie, odbieranie i interakcję z nimi.

Klucz prywatny/fraza inicjująca

Tajemnica potwierdzająca własność i przekazująca fundusze. Nigdy nie udostępniaj go — ani SaveSaveSaveSave, ani nikomu. Nic legalnego nigdy tego nie potrzebuje.

Inteligentny kontrakt

Samowykonujący się kod w łańcuchu bloków, który definiuje sposób zachowania tokena lub aplikacji.

Miodownik

Token zbudowany tak, że można go kupić, ale nie sprzedać.

Władze mennicze

Możliwość tworzenia nowych dostaw po uruchomieniu. Nie jest to automatycznie niebezpieczne – mimo wszystko warto o tym wiedzieć.

Prompt injection

Tekst napisany do odczytania przez system AI, a nie przez Ciebie, instruujący go, aby ignorował jego zasady lub działał wbrew Twoim interesom. To działa niezależnie od tego, czy to zauważasz, czy nie.

Homoglif

Znak z jednego alfabetu, który wygląda identycznie jak znak z drugiego — używany do odczytywania fałszywego imienia jako prawdziwego.

Punycode

Sposób pisania nazwy domeny, która może być wyświetlana w przeglądarce jako zupełnie inna nazwa. Standardowa metoda fałszowania dobrze znanej domeny.

Wyrocznia sankcji

Inteligentny kontrakt, który można wywołać publicznie i który odpowiada, czy adres jest obecnie objęty sankcjami – bezpłatnie, w łańcuchu, nie wymaga konta.

Kontrahent

Adres, z którego portfel bezpośrednio przeprowadził transakcję. Ekspozycja na ryzykownego kontrahenta nie jest tym samym, co stwierdzenie, że sam portfel jest ryzykowny.

INSUFFICIENT DATA

Wynik sam w sobie, a nie miękkie podanie. Nie udało się dokończyć kontroli — i tak nic nie wiadomo.

Dostęp tylko do odczytu

Zezwolenie na przeglądanie, nigdy nie zmienianie, przenoszenie ani wydawanie.

Poprawki są mile widziane za pośrednictwem narzędzia do śledzenia problemów projektu lub pocztą elektroniczną na adres savesavesavesave@tuta.io . Jeśli coś jest tutaj nie tak, celem dokumentu jest publiczne powiedzenie tego. Twierdzenie zawarte w tym dokumencie, które wywodzi się z kodu, jest błędem i jako takie warto je zgłosić.