امنیت MoneroP2P
پاسخ کوتاه: در MoneroP2P هیچ‌کس دارایی نگه نمی‌دارد. USDT شما در قراردادی است که فقط طبق قواعد عمومی پول آزاد می‌کند، و XMR در آدرسی است که هیچ‌کس بدون هر دو نیمه کلید نمی‌تواند جابه‌جایش کند. این سرویس با پول واقعی روی Arbitrum One + Monero کار می‌کند و قرارداد هر سواپ را به حداکثر ۱۰۰ USDT محدود می‌کند. قرارداد با Halmos، Aderyn و Slither راستی‌آزمایی شده و کد منبعش در Sourcify منتشر شده است؛ هنوز ممیزی خارجی نشده، به همین دلیل هر سواپ سقف دارد.
چرا هیچ‌کس دارایی شما را نگه نمی‌دارد
- USDT در قراردادی ویژه سواپ شما قرار دارد. هیچ تابع مدیریتی ندارد: نه ما و نه میکر نمی‌توانیم جز از راه
claimوrefundآن را برداریم. - XMR در یک آدرس مشترک است. میکر بدون نیمه کلید شما نمی‌تواند آن را پس بگیرد و شما هم بدون نیمه او نمی‌توانید آن را بردارید.
- کلیدهای شما در مرورگرتان ساخته می‌شوند و هرگز به سرورهای ما فرستاده نمی‌شوند. سرور هر پیامی را که کلید خصوصی کامل داشته باشد رد می‌کند.
بازپرداخت چگونه کار می‌کند
| وضعیت | چه می‌شود |
|---|---|
| میکر XMR را واریز نمی‌کند | پیش از t0 بازپرداخت می‌کنید (برنامه از شما می‌خواهد) |
| میکر XMR کمتری واریز می‌کند | تأیید نمی‌کنید و پیش از t0 بازپرداخت می‌کنید |
| تأیید کرده‌اید و میکر برداشت نمی‌کند | از t1 به بعد بازپرداخت می‌کنید |
| زبانه را بسته‌اید | با فایل بازیابی برگردید |
ریسک‌هایی که باید بدانید
- مهلت‌ها. اگر XMR نرسیده و به‌موقع بازپرداخت نکنید، ممکن است USDT را از دست بدهید. برنامه هشدار می‌دهد، اما باید باز باشد یا با فایل برگردید.
- فایل بازیابی. بدون آن و رمزش نمی‌توانید XMR را دریافت کنید یا بازپرداخت کنید. ما نمی‌توانیم آن را برایتان بازیابی کنیم.
- مسدود شدن USDT. Tether می‌تواند آدرس‌ها را مسدود کند. هر سواپ از قرارداد جداگانه‌ای استفاده می‌کند، اما ریسک وجود دارد.
- هنوز ممیزی خارجی نشده. قرارداد راستی‌آزمایی خودکار (Halmos، Aderyn، Slither) را گذرانده، اما نرم‌افزار هنوز ممکن است باگ داشته باشد. سقف ۱۰۰ USDT در هر سواپ، ریسک هر سواپ را محدود می‌کند.
- حریم خصوصی. پراکسی نود مونرو می‌بیند مرورگر شما چه پرس‌وجویی می‌کند. می‌توانید از نود خودتان استفاده کنید.
چگونه از برنامه محافظت می‌کنیم
- Content Security Policy سخت‌گیرانه: برنامه فقط کد خودش را اجرا می‌کند.
- Subresource Integrity برای اسکریپت‌ها و استایل‌ها، و یکپارچگی هسته رمزنگاری پیش از استفاده بررسی می‌شود.
- بدون اسکریپت شخص ثالث، بدون ابزار تحلیل، بدون کوکی.
- ساخت‌های قابل راستی‌آزمایی: برای هر فایل
SHA256SUMSو یک نسخه روی IPFS منتشر می‌کنیم.
ممیزی‌ها
قرارداد با ابزارهای رایگان و باز راستی‌آزمایی شده است: Halmos (راستی‌آزمایی نمادین، ۷ از ۷ ویژگی برای همه ورودی‌ها اثبات شده)، Aderyn (۰ یافته با شدت بالا) و Slither (هیچ یافته‌ای با شدت متوسط یا بالا). کد منبع آن در Sourcify راستی‌آزمایی شده است (تطابق کامل). گزارش: docs/AUDITORIA-GRATUITA.md. ممیزی خارجی هنوز در پیش است؛ دامنه آماده‌شده در docs/AUDITORIA.md است.
کد منبع و گزارش‌ها
متن‌باز (AGPL-3.0): github.com/juanjobs39-cloud/xmrp2p. برای گزارش آسیب‌پذیری، همان‌طور که در SECURITY.md آمده از گزارش خصوصی GitHub استفاده کنید.