Transparenca teknike · Shtator 2026

Si funksionon në të vërtetë

Every claim in Before You Act, with the detail behind it.

You do not need this document to use the product. Ai ekziston në mënyrë që kushdo që dëshiron të kontrollojë pretendimet mund t'i kontrollojë ato, duke përfshirë ato të pakëndshme.

Motori skanues v0.2.0 · modeli i rezultatit v1.0.0 .

1. Mbulimi zinxhir

Aptos u vlerësua dhe nuk u ndërtua. Shfaqet në materialin e marketingut të ofruesit të të dhënave, por asnjë pikë përfundimtare teknike e verifikueshme nuk mund të konfirmohej, kështu që nuk pretendohet si e mbështetur.

Përplasjet e formatit të adresës

Lloji i adresës zbulohet automatikisht. Katër formatet e mbështetura nuk mbivendosen nga ndërtimi, por dy përplasje ia vlenin të llogariteshin në vend që të supozohej:

• TRON kundër Solanës. Të dy përdorin bazën58. Një adresë TRON është T plus 33 karaktere; shanset që një çelës i vlefshëm Solana të përmbushë gjithashtu modelin TRON u llogaritën afërsisht 1 në 400 kuadrilion.
• Bitcoin kundër Solanës. Kjo është e vërtetë dhe është gjetur nga një test kundërshtar, jo nga arsyetimi. Adresat e trashëgimisë Bitcoin janë gjithashtu bazë58, fillojnë me 1 ose 3 dhe ekzekutojnë 26–35 karaktere. Ata kaluan çdo roje dendësie. Një çelës publik Solana është 32 bajt, i cili në praktikë zbret në 43–44 karaktere bazë58, kështu që një kandidat i shkurtër me një prefiks Bitcoin refuzohet. Ofrimi i një skanimi Solana në një adresë Bitcoin do të kishte qenë më keq se heshtja.

Gjithashtu përjashtohen qëllimisht: adresat bech32 si p.sh bc1… (jashtë alfabetit bazë58), identifikuesit e përmbajtjes IPFS, hash transaksionesh me 64 karaktere që përmbajnë një adresë EVM me pamje të vlefshme 40 hex brenda tyre dhe emra ENS si p.sh. vitalik.eth, të cilat zgjidhen në një adresë, por vetëm përmes një kërkimi që kjo faqe nuk e bën kurrë.

2. Ofruesit e të dhënave

Asnjë llogari nuk kërkohet për asnjë nga këto. Asnjë prej tyre nuk merr tekst skanues të dorëzuar, një gjetje, një vendim ose një adresë të nxjerrë nga një mesazh.

Kodi i reklamës është hyrja më e re dhe ajo që ia vlen të jesh i saktë. Është ngarkuar në pesë nga njëmbëdhjetë faqet. Gjashtë që nuk përmbajnë reklama - katër udhëzuesit që shpjegojnë mashtrimin e bazuar në mesazhe, plus politikën e privatësisë dhe kushtet - i kanë hequr hostet e reklamave nga Politika e tyre e Përmbajtjes-Sigurisë si dhe nga marka e tyre. Për shkak se një shfletues kombinon politikën meta të një faqeje me kokën e përgjigjes dhe zbaton kryqëzimin, ato faqe nuk mund të ngarkojnë një reklamë edhe pse titulli në të gjithë sitin i lejon ende hostet për faqet që mbajnë një të tillë. Lista e rrugëve dhe arsyeja për çdo hyrje janë në apply-ads.js. I jepet adresa e faqes dhe asgjë tjetër. Vendet e reklamave janë position: fixed në kanalet e faqeve, kështu që ato nuk janë brenda shënjimit të rezultatit dhe nuk janë dhënë fare nën 1280 px. Një test në grupin e ndërfaqes së përdoruesit pohon se asnjë element reklame nuk shfaqet brenda kontejnerit të rezultateve, se dy slotet nuk përmbajnë interpolim shabllonesh dhe se asnjë reklame globale nuk i është caktuar ndonjëherë tekst i skanuar.

Drejtimi i ofruesit

Thirrja direkte e para, përfaqësuesi i dytë, për zinxhir. Një përgjigje e kufizuar me tarifë nuk riprovohet kurrë përmes përfaqësuesit të përbashkët - duke bërë këtë do të shpenzonte një kuotë të përbashkët për një kërkesë që tashmë ishte refuzuar dhe përfundimisht do të merrte përfaqësuesin e kufizuar për të gjithë. Gjashtëmbëdhjetë teste e mbajnë këtë renditje poshtë.

3. Orakulli i sanksioneve

Chainalysis Sanctions Oracle është një kontratë inteligjente falas, e thirrur publikisht, që përgjigjet nëse një adresë është aktualisht në listën e sanksioneve. Asnjë llogari, pa çelës API.

U verifikua në vend që të besohej: adresa e kontratës u kontrollua drejtpërdrejt në Etherscan, dhe përzgjedhësi i funksionit u llogarit dhe u konfirmua kundrejt bajtkodit të vendosur. Është live këtu në 8 nga 9 zinxhirët e tij të vendosur.

Kufizimi i ndershëm. Një rishikim i pavarur gjeti boshllëqe reale midis një emërtimi që hyn në fuqi dhe orakullit që e pasqyron atë — mbi 90 ditë në një rast të dokumentuar. Një ndeshje raportohet si një ndeshje kundër orakullit në momentin e pyetjes. Nuk është një garanci e pakushtëzuar e statusit aktual të sanksioneve dhe ky produkt nuk e përshkruan atë si të tillë.

Ekspozimi nuk është faj. Adresat janë pseudonime, fondet kalojnë përmes tyre pa pëlqimin e pronarit të tyre dhe bashkëveprimi me një adresë të shënuar nuk është provë e keqbërjes nga askush.

4. Kontrolli i fundit i palës tjetër

Një dritare e kufizuar, e zbuluar e transfertave të fundit të shenjave, e kontrolluar në të njëjtin orakull.

Çfarë nuk është: historia e transaksioneve. Kjo aftësi nuk ekziston në nivel protokolli për asnjë zinxhir pa një shërbim indeksimi dhe ky produkt nuk e ekzekuton një të tillë. Ai gjithashtu nuk sheh transferime të aktiveve vendase - vetëm transferime simbolike.

Një palë e sanksionuar e zhvendos rezultatin në CAUTION. Nuk detyron një FAIL. Ky anulim mbetet i rezervuar për adresën e portofolit të caktuar drejtpërdrejt, sepse ngatërrimi i "ky portofol është caktuar" me "kjo portofol ka marrë diçka nga një adresë e caktuar" është gabimi i vetëm që ka më shumë gjasa të lexohet si një akuzë për një person real.

Një dështim i punëtorit këtu kthen INSUFFICIENT DATA . Asnjëherë nuk hidhet në heshtje dhe kurrë nuk paraqitet si një rresht i pastër.

5. Kategoritë e zbulimit të mesazheve

Njëzet e shtatë rregulla deterministe në gjashtë familje. Asnjë model gjuhe nuk thirret dhe asgjë në tekstin e dorëzuar nuk ekzekutohet kurrë - motori e lexon atë ashtu siç e bën një kontrollues drejtshkrimi.

1. Karaktere të fshehura dhe të padukshme. Karaktere me gjerësi zero, zëvendësime me dy drejtime që rirenditin atë që shfaqet dhe blloku i etiketave të Unicode - pikat e kodit që kthehen si asgjë dhe mund të mbajnë një udhëzim të tërë të fshehur brenda një fjalie të padëmshme. Zëvendësimi i homoglifit kapet në të njëjtën kalim.
2. Shënimi i fshehur. Udhëzime të fshehura në komente, në elementë të stilizuar të jenë të padukshëm ose në atribute që lexuesi nuk i sheh kurrë.
3. ngarkesa të koduara. Base64 dhe kodime të ngjashme që mbartin tekst nuk kishin për qëllim kurrë të lexoheshin nga personi që e ngjit atë.
4. Zbritja e udhëzimeve. Injeksion i menjëhershëm: tekst i adresuar një sistemi AI dhe jo lexuesit. Përfshin përpjekjet që synojnë vetë këtë skaner, të cilat raportohen si gjetja më e fortë dhe jo si gabim.
5. Kërkesa kredenciale. Kërkesat për një frazë fillestare, fjalë rikuperimi, një çelës privat, një fjalëkalim ose një kod me dy faktorë, në frazat e përdorura për t'i bërë ato të shëndosha rutinë.
6. Struktura e lidhjes. Destinacionet të fshehura përpara një shenje @, hoste të zhveshura IP, domene punycode që shfaqen tërësisht si një emër tjetër, shkurtues, emra markash të besuara të vendosura aty ku nuk kanë autoritet, domene të shkruara për t'u lexuar gabimisht si markë, domene që mbajnë një markë portofolin me fjalë shtesë të ngarkuara me pagesë të bashkangjitur dhe pyetje të gjata.

Çfarë gabimi kontrollon lidhjet dhe çfarë humbet

Dy prej tyre ishin me defekt deri më 19 shtator 2026, dhe të dyja janë regjistruar këtu në vend që të korrigjohen në heshtje.

Alarmi i rremë. Për të vendosur nëse emri i markës qëndron në pozicionin e pronarit të vërtetë kërkon të dihet se ku përfundon prapashtesa publike e një domeni. Motori mori dy etiketat e fundit, të cilat lexojnë pronarin e coinbase.co.uk si co.uk - kështu që një lidhje e zakonshme legjitime prodhoi një gjetje të imitimit të markës LARTË.

Nga vjen kufiri i prapashtesës

Motori tani mbart një tabelë me prapashtesa publike me shumë etiketa. Kjo tabelë është një nëngrup i datës së Listës së Prapashtesave Publike, jo vetë lista , dhe është etiketuar si e tillë në burim. Lista në rrjedhën e sipërme shkon në afërsisht pesëmbëdhjetë mijë hyrje dhe ndryshon çdo disa javë; futja e një kopjeje të ngrirë të të gjithë saj në një faqe që duhet të mbetet e vogël do të ishte një varësi bajate e paraqitur si autoritare. Tabela e dërguar mbulon nivelet e dyta të kodit të vendit që përdorin faqet e zakonshme, dhe i anashkalon tërësisht rregullat e karakterit të egër dhe të përjashtimit të listës së sipërme, sepse një test i thjeshtë anëtarësimi nuk mund t'i shprehë ato.

build-suffixes.js rigjeneron tabelën nga lista e sipërme dhe e vulos atë me datën e regjistrimit. Ai refuzon të shkruajë një tabelë që nuk mund ta merrte, dhe refuzon të shkruajë një tabelë që dështon në kontrollet e veta të arsyeshme – një tabelë prapashtese e gabuar në heshtje është më e keqe se një e vjetër dukshëm. Prapashtesat e pritjes si github.io përjashtohen qëllimisht: atje etiketa regjistrohet me të vërtetë nga kushdo që e ka kërkuar, kështu që një markë portofolësh e ulur në një të tillë ia vlen të raportohet dhe jo të justifikohet.

Një kufi i pazgjidhur nuk merret kurrë me mend. Kjo është pjesa që ndalon kthimin e gabimit origjinal në një formë të re. Kur një host përfundon me një prapashtesë, tabela nuk mbart dhe ka formën e një regjistri të kodit të shtetit - një kod shteti me dy shkronja me një etiketë të shkurtër administrative përpara tij, si msk.ru ose nom.za real - kufiri raportohet si i panjohur. Çdo gjykim i markës më pas mbahet i fshehtë dhe lexuesit i thuhet se pronësia nuk mund të përcaktohet në vend që t'i thuhet se faqja po imiton dikë. Një zbulim i humbur në një prapashtesë të pazakontë është një dështim më i vogël sesa t'i thuash dikujt se uebsajti i vërtetë i bankës së tyre po imiton bankën e tyre.

Pika e verbër. Mashtrimi më i zakonshëm i lidhjes në qarkullim - regjistrimi i një domeni të shkruar për t'u lexuar gabimisht, metarnask për metamask - nuk u zbulua fare. Tani, duke testuar çdo mënyrë që një vështrim mund të lexojë emrin në vend se duke e reduktuar atë në një drejtshkrim: shifra 1 qëndron për l në një domen dhe i në tjetrin, kështu që një kalim i vetëm normalizimi kap njërën dhe humbet tjetrin.

Çfarë mungon ende. Një gabim drejtshkrimor i thjeshtë pa karakter të ngatërruar në të — metamsk.io — nuk është gjetur. Ekziston një test në suitë që pohon se nuk është kështu, kështu që hendeku mbetet një sasi e njohur në vend që të bëhet surprizë. Motori gjithashtu nuk zgjidh kurrë një lidhje të shkurtuar: ndjekja e një adrese të zgjedhur nga një i huaj është sulmi, kështu që një shkurtues raportohet si i pazgjidhur dhe jo i zgjeruar.

Çdo gjetje mbart një identifikues rregulli, një ashpërsi, një besim, zhvendosje të sakta të karakterit aty ku përputhej dhe një shpjegim të thjeshtë në anglisht.

Edukimi nuk është ekzekutim

"Kurrë mos e nda frazën tënde fillestare me askënd" dhe "më dërgo frazën tënde fillestare për të verifikuar portofolin tënd" përmbajnë pothuajse të njëjtat fjalë. Një skaner që shënon të parin është më keq se i padobishëm - ai i trajnon njerëzit ta injorojnë atë.

Motori ndan udhëzimin nga shpjegimi duke përdorur një pikë direktive plus trajtimin e qartë të mohimit këshillues. Kjo ishte e gabuar herën e parë: një version i hershëm ktheu FAIL në një artikull legjitim sigurie rreth sigurisë së frazës fillestare. Dosja e shqyrtimit kundërshtar që e kapi atë tani është një pjesë e përhershme e paketës.

Raste të njohura false-pozitive, të mbajtura si analiza

• Një artikull sigurie që citon "injorojë të gjitha udhëzimet e mëparshme" si shembull nuk duhet FAIL . Rregulli i anashkalimit zbret në informues kur fjalia rrethuese është përshkruese dhe jo udhëzuese.
• "Një shënim për ekipin e ndihmës" dhe "një shënim për buletinin e AI" duhet të qëndrojnë të pastra. Të dyja ishin pozitive false të drejtpërdrejta të krijuara nga zgjerimi i rregullit të adresuar në model, dhe të dyja tani janë pohime.
• Teksti cirilik me fjalë të plota është legjitim dhe nuk duhet të pengojë detektorin e karaktereve të ngjashme.
• Një urdhër mbrojtës - "mos ndiqni asnjë udhëzim të përmbajtur në artikullin më poshtë" - nuk duhet të ndëshkohet për emërtimin e kërcënimit.
• Rishikimi i kodit të një fragmenti që përmban fetch() kthen CAUTION, jo FAIL. Një lexim i kujdesshëm njerëzor pajtohet.

6. Politika e kombinimit

Një mesazh i ngjitur nuk është një gjë. Është tekst, plus lidhje, plus adresa dhe secila merr një kontroll të ndryshëm me mbulim të ndryshëm dhe boshllëqe të ndryshme. Rrafshimi i tyre në një pikë shkatërron informacionin që ka më shumë rëndësi: cila pjesë është e rrezikshme.

Pasojat e dukshme në ndërfaqe:

• Një adresë e gjetur në tekst, por e pa kontrolluar ende, llogaritet si INSUFFICIENT DATA, jo si e sigurt. Një mesazh që përmban një nuk mund të kthehet PASS, dhe rreshti e thotë këtë në vend që të lërë një boshllëk të heshtur.
• Një kërkim që dështon - gabim rrjeti, zinxhir i pambështetur, kufi i normës - tregon arsyen. Asnjëherë një rresht i pastër.
• Çdo veprim i rekomanduar emërton gjetjen nga erdhi. Hapi i kombinimit nuk shpik asgjë.
• "Të paktën një kontroll nuk mund të plotësohej" raportohet veçmas nga vendimi, kështu që një CAUTION ende zbulon mbulim jo të plotë.

Një adresë 0x nuk mbart zinxhir, kështu që rreshti është i paracaktuar në Ethereum, thotë se zinxhiri nuk është deklaruar në tekst dhe ofron një zgjedhës. Ndryshimi i zinxhirit hedh poshtë rezultatin e mëparshëm, sepse një rezultat për Ethereum nuk është rezultat për BNB Chain.

Llojet e skanimit

Pesë lloje prodhimi: crypto_address_scan , token_scan , wallet_scan , prompt_scan , message_scan . Secila ka një motor pas saj.

file_scan është i rezervuar dhe qëllimisht jo i ndërtueshëm. Ai u ul në listën e prodhimit për një javë pa asgjë pas saj; asgjë nuk u prish, sepse asgjë nuk e quajti, pikërisht për këtë arsye u hoq. Një emër është një pretendim.

7. Ku u gjet çdo adresë

Nxjerrja regjistron zhvendosjet e karaktereve, kështu që çdo adresë shfaqet me rreshtin në të cilin është shfaqur dhe adresën e shënuar brenda saj. "Dërgo 0.5 ETH në 0x..." dhe "kontrata në 0x... u auditua" janë situata të ndryshme dhe një adresë e printuar pa fjalinë e saj është një pretendim pa origjinë.

Kompensimet regjistrohen një herë në kohën e skanimit, nuk ri-përftohen në render duke kërkuar për vargun - një adresë që shfaqet dy herë do të nënvizonte të njëjtën dukuri të dyja herët.

Lidhjet e eksploruesit të bllokut vijnë nga një tabelë fikse që mbulon 14 zinxhirë EVM, Solana dhe TRON. Një zinxhir ose ka një eksplorues të njohur ose rreshti thotë se nuk ka asnjë. Asgjë nuk e merr me mend një URL. Lidhja është një lidhje, jo një kërkim: asnjë kërkesë nuk bëhet derisa ta klikoni.

8. Verifikimi i privatësisë

Pretendimi i privatësisë së skanimit të mesazheve nuk është nxjerrë nga leximi i burimit. Ai u verifikua kundër vendit të vendosur me kapjen e rrjetit të armatosur përpara aksionit.

Metoda . U ngjit dhe u skanua një mesazh që përmban një varg unik kanarine, një URL phishing, një kërkesë për frazë fillestare dhe një ngarkesë injeksioni.

• Rezultati 1: kërkesa rrjeti zero. Skanimi prodhoi një verdikt FAIL tërësisht jashtë linje.
• Rezultati 2: adresa e nxjerrë nga ai mesazh u kontrollua më pas në mënyrë eksplicite. Është bërë pikërisht një kërkesë, ofruesit të sigurisë, duke mbajtur adresën dhe identifikuesin e zinxhirit. Vargu i kanarinës nuk u shfaq në të. As ndonjë pjesë tjetër të mesazhit.

Kjo u riekzekutua pasi u shtua numëruesi i shikimit të faqeve, për të konfirmuar që numëruesi nuk e ndryshon rezultatin.

Mbajtja. Ky produkt nuk ruan asgjë. Nuk ka asnjë bazë të dhënash, asnjë sistem llogarie, asnjë regjistër të përmbajtjes së dorëzuar nga ana e serverit dhe asnjë ruajtje të tekstit të skanimit të shfletuesit. Palët e treta të përmendura në seksionin 2 mbajnë të dhënat e tyre sipas politikave të tyre, të cilat ne nuk i kontrollojmë dhe nuk i përshkruajmë në emër të tyre.

9. Kompleti testues

Një pretendim rreth ashpërsisë vlen po aq sa suita pas tij. Këto mbulojnë garanci materiale të ndryshme dhe raportohen veçmas për këtë arsye.

Zbulimi i driftit

Skaneri është një skedar i vetëm i pavarur, kështu që çdo motor ekziston dy herë - një herë si modul i tij, një herë i ngulitur në faqe. Një kontroll ndërtimi i krahason ato dhe dështon me zë të lartë nëse nuk pajtohen.

U shtua pasi ndodhi pikërisht kjo: një rregullim jetoi në modulin që askush nuk ngarkon, duke dërguar një rrugë të prishur të rrugës së zinxhirit për një javë ndërsa testet e vetë modulit vazhdonin të kalonin.

Zbulimi i rrëshqitjes ishte vetëm gjysma e tij, sepse gjysma e mbetur ishte një person që kujtohej të ngjiste përsëri. Që nga 19 shtatori 2026, një skenar i dytë kryen vetë kopjen, nga modulet në faqe dhe refuzon të shkruajë asgjë nëse mungon një pikë referimi - një faqe gjysmë e shkruar është më e keqe se ajo e ndenjur, sepse një faqe e ndenjur ende funksionon.

Cross-site scripting

Kjo veçori merr tekst armiqësor nga një i huaj dhe e printon përsëri në faqe. Çdo vlerë është ikje, duke përfshirë tekstin e përgjigjes së vetë ofruesit të sigurisë, sepse një përgjigje e mashtruar ose e komprometuar në rrjedhën e sipërme nuk duhet gjithashtu të bëhet shënim.

Të vetmit mbajtës inline që lëshon renderuesi janë literale fikse plus një indeks numër i plotë, dhe një test pohon pikërisht këtë. Elementi i vetëm i lidhjes që mund të përmbajë rezultati - lidhja e eksploruesit të bllokut - përputhet në grupin XSS nga një model mjaft i ngushtë për të qenë pohimi: vetëm https, një host nga tabela fikse dhe një trup adrese që nuk përmban kuotën, hapësirën ose kllapa.

10. Titujt e sigurisë

Cakto si tituj përgjigjeje, jo vetëm si meta etiketë. Një politikë meta-tag mbron vetëm atë dokument HTML; ajo la robots.txt , sitemap.xml dhe imazhet pa asnjë politikë fare.

• Content-Security-Policy — default-src 'self' , me connect-src të kufizuar për ofruesin e sigurisë, punonjësin tonë, pikën përfundimtare të analitikës dhe pikat përfundimtare të reklamimit të Google.
• Strict-Transport-Security - një vit, të përfshira nënfushat, qëllimisht të pa ngarkuara paraprakisht, në mënyrë që të mbetet i kthyeshëm.
• X-Content-Type-Options: nosniff, X-Frame-Options: DENY, frame-ancestors 'none', Referrer-Policy: strict-origin-when-cross-origin, Cross-Origin-Opener-Policy: same-origin.
• Permissions-Policy - gjeolokacioni, mikrofoni, kamera, pagesa dhe USB të gjitha të paaktivizuara.

Verifikuar kundrejt përgjigjeve reale me dy metoda të pavarura, jo të supozuara nga prania e një skedari konfigurimi.

Sa kushton ndryshimi i reklamave

Ia vlen të regjistrohet qartë, sepse është një reduktim i vërtetë dhe versioni i mëparshëm i kësaj faqeje pretendonte të kundërtën.

Përpara reklamimit, connect-src ishte një garanci strukturore : vetë shfletuesi do të kishte refuzuar të dërgonte të dhëna skanimi kudo, përveç dy hosteve të emërtuar, çfarëdo që të bënte kodi i faqes, duke përfshirë kodin e futur nga një gabim ose një sulmues. Pikat përfundimtare të reklamave të Google janë tani në atë listë, kështu që garancia nuk është më strukturore - ajo mbështetet në kodin e faqes që nuk i jep përmbajtjen e skanimit në skriptin e reklamës.

Kjo veçori tani mbahet nga një test dhe jo nga shfletuesi. Është një lloj sigurie më e dobët dhe ne më mirë do ta thonim këtë sesa ta lëmë fjalinë më të vjetër dhe më të fortë të qëndrojë kur nuk është më e vërtetë. script-src gjithashtu fitoi 'unsafe-inline' në faqet e dokumentit, të cilat më parë nuk kishin nevojë për të.

Rregullat e cache

HTML duhet të rivlerësohet në çdo ngarkesë. Pa këtë, një vizitor që kthehet ruan motorin e djeshëm pas një vendosjeje - që për një mjet sigurie nënkupton ekzekutimin e rregullave të zbulimit që tashmë janë korrigjuar. Imazhet ruhen në memorie të vështirë. Skedarët që përballen me zvarritës marrin një orë, aq të shkurtër sa që korrigjimi të merret në të njëjtën ditë.

11. Aftësitë e shtyra

Emërtuar këtu në mënyrë që të mbeten zgjedhje dhe jo surpriza. Asnjë nga këto nuk ekziston sot:

• Analiza semantike e kuptimit të mesazhit. Zbulimi është i bazuar në model, kështu që një teknikë e formuluar në një mënyrë të pazakontë mund të kalojë pa u vënë re.
• Auditimi i sigurisë në JavaScript.
• Ekzekutim dinamik ose sandbox i përmbajtjes së paraqitur.
• ZIP dhe skanimi i varësisë.
• Një veçori e rishkrimit të sigurt.
• Një shtesë e shfletuesit.
• Hap kontrollin e miratimit të tokenit. Skaneri lexon shenjat dhe adresat, jo listën e kompensimit të portofolit.
• Ndjekja ose marrja e lidhjeve të gjetura në përmbajtjen e dorëzuar. Lidhjet lexohen për strukturën dhe nuk vizitohen kurrë.

Tjetra në radhë: Markdown statik dhe skanimi HTML, dhe më pas një rishikim nëse klasifikimi i kufizuar JavaScript mund të ekspozohet në mënyrë të sigurt.

12. Boshllëqe të njohura

• Injeksioni i menjëhershëm i tërthortë nuk mund të kontrollohet fare, sepse përmbajtja nuk kalon kurrë nga personi ose kjo faqe.
• Një rezultat i pastër do të thotë që asnjë model i mbuluar nuk përputhet. Kjo nuk do të thotë se teksti është i sigurt.
• Mbulimi ndryshon sipas zinxhirit dhe sipas llojit të skanimit. Ndërfaqja tregon se çfarë mbështet çfarë.
• Orakulli i sanksioneve vonon emërtimet, siç përshkruhet në seksionin 3.
• Kontrolli i palës sheh vetëm transferimet e shenjave, brenda një dritareje të kufizuar.
• Sui nuk kthen asnjë likuiditet ose të dhëna mbajtëse nga ofruesi.
• Asnjë lloj mbështetjeje për Bitcoin.

13. Historia e versionit

v1

Kontrollimi i adresës dhe shenjave në zinxhirët EVM, ofrues i vetëm.

v2

Përshtatësit Solana, Sui dhe TRON. Orakulli i sanksioneve i verifikuar dhe i lidhur. Drejtimi i ofruesit me kthim të proxy. Zbulimi i lëvizjes u shtua pas një regresioni të heshtur njëjavor.

v3.0

Skanimi i mesazheve dhe i shpejtë në shfletues. Modeli i unifikuar i rezultatit dhe politika e kombinimit. Kontrolli i fundit i palës tjetër. Faqet ligjore, analitika pa kuki dhe seksioni i udhëzuesve.

Motori skanues v0.2.0

Njëzet e shtatë rregulla. Zbulim i shtuar për ndryshimin e mesazhit në mes të adresuesit, numërimit të aftësive dhe frazave të anashkaluara që një posesiv ose një mbiemër i ka mposhtur më parë. Të tre boshllëqet u gjetën duke skanuar shembullin tonë të botuar dhe duke marrë një rezultat më të dobët sesa pretendonte artikulli.

Modeli i rezultatit v1.0.0

Pesë lloje të skanimit të prodhimit, shkallët e vendimit dhe rregulli që fiton komponenti më i keq.

14. Fjalorth

Portofoli

Mban çelësat që kontrollojnë kripto-n tuaj; ju lejon të dërgoni, merrni ose ndërveproni me të.

Çelësi privat / fraza seed

Një sekret që vërteton pronësinë dhe lëviz fonde. Mos e ndani kurrë - as me SaveSaveSaveSave, as me askënd. Asgjë legjitime nuk ka nevojë për të.

Kontratë inteligjente

Kodi vetë-ekzekutues në një blockchain që përcakton se si sillet një token ose aplikacion.

Honeypot

Një shenjë e ndërtuar në mënyrë që të mund të blihet por të mos shitet.

Autoriteti i minierës

Aftësia për të krijuar furnizim të ri pas nisjes. Jo automatikisht e rrezikshme - ia vlen të dihet pavarësisht.

Prompt injection

Teksti i shkruar për t'u lexuar nga një sistem AI dhe jo nga ju, duke e udhëzuar atë të injorojë rregullat e tij ose të veprojë kundër interesit tuaj. Funksionon pavarësisht nëse e vëreni apo jo.

Homoglif

Një personazh nga një alfabet që duket identik me njëri nga tjetri - përdoret për të bërë një emër të rremë të lexohet si i vërtetë.

Punycode

Një mënyrë për të shkruar një emër domaini që mund të shfaqet në një shfletues si një emër krejtësisht tjetër. Metoda standarde për falsifikimin e një domeni të njohur.

Orakulli i sanksioneve

Një kontratë inteligjente e thirrshme publike që përgjigjet nëse një adresë është aktualisht e sanksionuar — falas, në zinxhir, nuk kërkohet llogari.

Kundërpartia

Një adresë me të cilën një portofol ka kryer transaksione drejtpërdrejt. Ekspozimi ndaj një pale të rrezikshme nuk është i njëjti pretendim me rrezikshmërinë e vetë portofolit.

INSUFFICIENT DATA

Një rezultat i tij, jo një pasim i butë. Kontrolli nuk mund të përfundonte - asgjë nuk dihet në asnjë mënyrë.

Akses vetëm për lexim

Leje për të parë, asnjëherë për të ndryshuar, lëvizur ose shpenzuar.

Korrigjimet janë të mirëseardhura përmes gjurmuesit të çështjeve të projektit ose me email në savesavesavesave@tuta.io . Nëse diçka këtu nuk shkon, të thuash publikisht është thelbi i dokumentit. Një pretendim në këtë dokument që ka dalë nga kodi është një gabim dhe ia vlen të raportohet si i tillë.