Salvaguardas e segurança

Modo de demonstração: assinatura impossível por design

O adaptador de Wallet de demonstração (demoAdapter.signPsbt) lança uma exceção incondicionalmente. Nenhuma PSBT de demonstração pode alguma vez chegar à mempool, mesmo que alguém tente contornar a UI.

Exclusões automáticas por tipo de ativo

• BRC-20 transferível “bloqueado”: qualquer UTXO que contenha uma inscription BRC-20 “transfer” pronta para enviar está bloqueado. Cada construtor o exclui e exibe um banner dedicado.
• Runes: excluídas do Inscriber, Splitter e Padding Recovery (risco de burn se não for tratado via runestone).
• Alkanes: qualquer UTXO detetado positivamente como portador de Alkanes é excluído em todo o lado exceto no Wallet Dashboard (só leitura), porque a stack atual não consegue construir PSBT seguros para alkanes. A deteção depende de um fornecedor externo: quando está indisponível, a interface indica a verificação como incompleta e não a considera prova de que o UTXO está livre de Alkanes.

FIFO 1:1 para ordinais

O UTXO Mover e o Padding Recovery constroem transações onde cada UTXO de origem produz exatamente um UTXO de destino, na mesma ordem. Esta regra FIFO garante que um sat numerado permanece identificável e nunca será acidentalmente trocado por outro.

Éditos decodificados / recodificados

O Runes Mover valida edicts via roundtrip: o runestone construído é decodificado e comparado com a especificação original. Qualquer divergência ou cenotaph bloqueia a assinatura.

Limiares mínimos de saída usados pelo Bitcoin Tools

São limiares conservadores impostos pela aplicação para evitar criar saídas minúsculas ou mal retransmitidas. Não são necessariamente o limiar exato de poeira do protocolo ou da política de retransmissão para cada tipo de script.

• P2TR (ordinals): mínimo de 330 sats por output.
• P2WPKH (pagamento): mínimo de 546 sats por output.
• Recuperação de Padding: se o excedente recuperado for inferior a 546 sats, um complemento automático do endereço de pagamento (alvo: 600 sats) evita a perda.

Validação de rede e endereço

• O endereço de destino é verificado em relação à rede ativa (mainnet).
• Para Acelerar (RBF), cada input deve pertencer à sua carteira conectada — impossível fazer RBF na transação de outra pessoa.
• Os UTXOs são verificados novamente em segundo plano contra o mempool.space antes da construção do PSBT, para evitar gastar outpoints que já foram gastos.

Limites Bitcoin (ancestor cap)

O Splitter e o Runes Minter estão limitados pelo limite do Bitcoin de 25 transações ancestrais não confirmadas. As cadeias são automaticamente divididas em lotes que respeitam este limite.

Inscrições sempre no offset 0

O Inscriber sempre coloca a inscrição no offset 0 do UTXO de destino, o que a torna compatível com todos os mercados e carteiras de ordinais.

Os três estados da verificação de Pagamento

Antes de um UTXO de pagamento financiar taxas, ele passa pela verificação de pagamento partilhada. Termina sempre num destes três estados, e os textos das ferramentas seguem-no exactamente:

• Limpo — a verificação terminou e não encontrou nada de valor: o UTXO pode financiar taxas e troco.
• Risco detectado — a verificação encontrou um sat raro, um satributo, uma inscrição ou uma rune: o UTXO fica bloqueado e nunca financia taxas.
• Incompleto / não verificado — a verificação não pôde concluir (fonte indisponível, quota, rede). Nada é assumido: o UTXO fica fora dos novos conjuntos de taxas até aceitar explicitamente o modo de cobertura reduzida, e é oferecida uma nova tentativa.

Três noções são frequentemente confundidas. Um UTXO bloqueado tem prova positiva de valor e é recusado de propósito. Um UTXO neutro / desconhecido não tem identidade provada nem verificação concluída: é apresentado sem cor e não é considerado seguro. Um UTXO apenas não seleccionável é perfeitamente normal: simplesmente não se enquadra na ferramenta actual (carteira errada, não confirmado, já planeado, tamanho insuficiente).

Anti-queima para sats raros

O Splitter verifica se a cadeia nunca permite que um sat raro transite pelo endereço de pagamento (onde poderia ser gasto como taxa). Sats raros singulares (palíndromos isolados, alfa, ómega…) são redirecionados para o Rescuer.

Verificação fail-closed de rare-sat antes de gastar

Qualquer ferramenta que possa gastar um UTXO supostamente comum (o Consolidator Rescue em particular) usa uma verificação de segurança partilhada. Um UTXO só é tratado como comum quando a verificação de rare-sat foi concluída com sucesso e não encontrou nada.

• Evidência positiva em qualquer nível — um sat exato, uma categoria ou contador de nível de intervalo, ou um agregado de nível de outpoint — bloqueia o UTXO.
• Resultados pendentes, indisponíveis, com limite de taxa, mal configurados ou inválidos também o bloqueiam: a incerteza nunca é tratada como segurança.
• Uma flag manual de “comum verificado” não pode anular evidências positivas.
• A verificação é repetida imediatamente antes da assinatura, e a transação é abortada se um UTXO selecionado deixar de ser qualificado.
• Quando a integração WecSats é globalmente desativada, o fluxo anterior aplica-se: Ordiscan mais a sua verificação manual explícita.

Criptografia de chave Ordiscan

A sua chave Ordiscan é validada em tempo real, depois encriptada com AES-256-GCM (IV aleatório de 12 bytes) usando uma chave de servidor. Nunca é enviada de volta para o cliente nem registada. Apenas os últimos 4 são exibidos para identificação.

Modos de manutenção e somente leitura

A equipa pode, a partir do painel de administração, mudar a plataforma para o modo de manutenção (página de ecrã inteiro para todos, exceto administradores) ou marcar uma ferramenta como apenas leitura (as transmissões são bloqueadas no lado do cliente e no lado do servidor — defesa em profundidade).

Pontuação de segurança do PSBT Inspector

Antes de assinar uma PSBT externa, o PSBT Inspector calcula uma pontuação com base em: presença de inscrições/Runes/sats raros, tipos de saída, saldo, taxa de comissão, assinaturas já presentes. Consulte PSBT Inspector.