Sécurité

Rien de nous à pirater.

WiSP n'exécute aucun programme, ne détient aucune clé admin et n'a aucun serveur capable de toucher une clé. Vos positions sont des wallets Solana ordinaires, dérivés sur votre appareil. Ce qui reste à sécuriser, c'est le code qui tourne dans votre navigateur ; c'est donc lui qui est testé, relu et exécuté sur le mainnet avant chaque release.

531vérifications réussies avant qu'une release ne parteavant chaque version · 56 suites

168tours de revue adversariale, chaque constat clos par un test de régressionet ça continue

0clé, phrase ou carte des wallets détenue par WiSPpar construction, pas par politique

2 sur 3signatures pour déplacer les fonds de la trésorerie, avec une limite de 1 SOL/jour pour le worker, appliquée on-chainSquads, vérifiable ci-dessous

Ce que nous n'avons jamais

Cinq choses qui ne peuvent pas fuiter, parce qu'elles ne nous parviennent jamais.

Chacune est structurelle. Il n'y a ni réglage, ni promesse, ni employé entre vous et elle.

Votre phrase de récupération

Vingt-quatre mots, générés dans votre navigateur. Chaque clé que WiSP utilise, pour le pool comme pour chaque wallet de position, en est dérivée sur votre appareil. La phrase est tout le compte ; sauvegardez-la, et personne d'autre ne peut le reconstruire. Les adresses Receive à usage unique, quand cette fonction est active, utilisent aussi des index enregistrés dans votre sauvegarde chiffrée : gardez cette sauvegarde à jour.

Comment vérifierSurveillez l'onglet Réseau pendant la création ou le déverrouillage d'un compte : aucune requête ne transporte la phrase, un mot de passe ou une clé secrète. Les clés sont dérivées dans un worker à l'intérieur de votre navigateur.chemins m/44'/501'/9281'/0' (pool) · …/1'/i' (positions)

Vos clés de position

Chaque position vit dans son propre wallet, dérivé à un chemin publié et utilisé uniquement sur votre appareil. La vente, c'est votre signature depuis ce wallet. Aucune clé n'est envoyée, mise sous séquestre, fractionnée ou copiée.

Comment vérifierPage Keys (clés) → Show key sur n'importe quel wallet : sa clé privée ouvre le même wallet dans Phantom ou toute autre app de wallet, sans WiSP et sans votre phrase. Ou reconstruisez le compte depuis la phrase dans un second navigateur : les mêmes wallets apparaissent, sans qu'aucun serveur WiSP n'intervienne.mesuré sur le mainnet : tout le pool lu et un compte approvisionné reconstruit en moins de deux minutes

Votre carte des wallets

Quel dépôt a financé quel wallet, et quels wallets sont les vôtres, n’est écrit qu’à un seul endroit : le coffre chiffré de votre appareil. Le serveur de WiSP, ce sont des fichiers statiques plus un endpoint de parrainage ; il n’a aucune table d’utilisateurs et aucun moyen d’en construire une. Les parties nommées sur la page Confidentialité (votre fournisseur RPC avant tout) voient les adresses publiques que vous leur demandez et pourraient les corréler ; c’est pourquoi le RPC est à vous de choisir.

Comment vérifierLisez ce que le serveur stocke sur la page Confidentialité. Il n'y a ni bail d'appareil ni service de session, donc rien ne compte qui est actif.

Un programme sur vos fonds

WiSP ne déploie aucun programme on-chain. Les fonds au repos sont dans un pool blindé, fort de vingt audits, que nous n'opérons pas ; les positions ouvertes sont dans vos wallets. Il n'y a rien à nous sur la chaîne à mettre en pause, plafonner, mettre à jour ou exploiter.

Comment vérifierInspectez n'importe quelle transaction WiSP : les programmes sont ceux du pool, de la courbe de lancement, du moteur de routage et de Solana elle-même. Aucun n'est à nous.

Un relayeur dans votre trade

Les achats et les ventes sont construits dans votre navigateur, vérifiés instruction par instruction, et envoyés via le RPC que vous avez choisi. Aucun serveur à nous ne voit la transaction avant la chaîne, donc aucun ne peut la réordonner, la retarder ou la front-runner.

Comment vérifierChaque achat et chaque vente affiche un reçu vérifié avant que vous signiez : destinataire des frais, montant, garde-fous et plateforme, lus dans les octets que vous allez signer.

Qui peut vous arrêter

Chaque design a des gens qui peuvent vous arrêter. Les honnêtes en écrivent la liste.

Voici la nôtre. Positions : personne. Fonds au repos : l'équipe du pool, sous les contrôles qu'elle publie. Nous : rien qui touche à votre argent.

PouvoirSur vos positionsSur les fonds au repos (le pool)Détenu par WiSP

Mettre les dépôts en pausepersonnel'équipe du pool ; conditions non publiées par ellenon

Refuser ou retarder un retraitpersonnele relayeur du pool, qui signe les sorties et filtre ; la preuve lie le destinataire et le montant, il ne peut donc pas redirigernon

Plafonner une taille ou un tokenpersonneaucun publiénon

Geler une positionpersonne, sauf l'émetteur d'un token pour ce tokensans objet ; le pool détient des SOLnon

Choisir votre route ou votre momentpersonne ; vous signez depuis le wallet qui détient la positionsans objetnon

Changer les règlespersonne ; un wallet est un walletle multisig du pool peut mettre à jour son programme ; 20 audits et une vérification formelle soutiennent la version actuellenon

Augmenter les frais d'un tradepersonne ; les frais sont une instruction dans la transaction que vous signez, affichée avant que vous la signiezle pool fixe ses propres frais de sortieseulement pour les trades futurs, visiblement

Lire votre activitévotre RPC voit ce qu'on lui demande ; WiSP n'a aucun serveur sur ce cheminl'indexeur du pool sert les mêmes notes publiques à tout le mondenon

Pousser du code vers vos clés——oui : nous servons l'app, comme toute web app. La mitigation est un point ouvert ; voir ci-dessous

Vérifié avant chaque release

531 vérifications, six domaines, une règle : une release ne part que lorsque toutes passent.

La suite s’exécute avant chaque version. Un contrôle de publication inspecte ensuite le bundle livré lui-même et refuse tout bundle portant un interrupteur de test, une porte d’acceptation ouverte ou un indicateur de fonctionnalité non remplacé.

147

Compte et clés

De la phrase aux clés, le coffre chiffré, le déverrouillage par mot de passe, les blindages signés par wallet, un second appareil lié et maintenu à jour, les profils de confidentialité, chaque état possible du compte.

Inspection des transactions

Chaque instruction portée par un achat ou une vente est décodée et vérifiée contre le plan que vous avez approuvé : destinataire et montant des frais, garde-fous, plateforme, route.

Parrainages et trésorerie

Preuves d'invitation, arithmétique du worker de paiement, limites de dépense on-chain, adresse de la trésorerie, paliers de frais des détenteurs.

Notes du pool et preuves

Encodage des notes, blinding, sélection, construction du dépôt, reprise d'un retrait après une étape interrompue, devis de récupération.

151

Régressions de revue

Un test par constat des tours adversariaux, pour qu'un défaut corrigé ne puisse pas revenir sans être vu.

Hébergement

Routage des hôtes, en-têtes, limites de taille des requêtes, repli sur le RPC public, cadence face à un fournisseur lent, téléchargement des fichiers de preuve, catalogue de tokens et recherche de token ; et les vérifications d’adresse et de devis du swap inter-chaînes.

Revue adversariale

168 tours à essayer de le casser.

À chaque tour, un relecteur indépendant qui n'a pas vu nos correctifs reçoit le code et un seul objectif : trouver un moyen de faire perdre ses fonds à un utilisateur, de relier ses wallets, ou de faire mentir l'app. Il rend un verdict et des constats classés. Un tour ne se termine que lorsque chaque constat est corrigé et couvert par un test, et le tour suivant repart du nouveau code. Le relecteur est un modèle d'IA distinct, exécuté sans accès à l'historique de notre dépôt ; il ne remplace pas l'audit humain ci-dessous, et nous ne le présentons pas comme tel.

Ce qu'il a attrapé avant vous : un cas à deux appareils qui affichait « À jour » sur un solde dépensé ; un identifiant de note qui fuitait lors d'un rafraîchissement ; une vérification de plateforme qui bloquait une position quand sa courbe de lancement se terminait ; une recharge qui comptait une allocation comme du cash dépensable. Tous clos, tous avec des tests de régression.

Exécuté sur le mainnet

Testé avec de vrais SOL, pas sur un devnet.

Tourne sur la chaîne réelle, avec l'app que vous utiliserez. Les références des transactions sont publiées à la mise en service.

Récupération avec des fonds dans le pool

Un compte neuf a blindé des SOL, a été effacé, puis reconstruit à partir de ses 24 mots dans un navigateur vierge. La reconstruction a lu chaque note du pool, retrouvé le solde, financé une position, acheté, vendu et rapatrié le tout dans le pool.

RésultatChaque note du pool lue en moins de deux minutes. Solde récupéré au lamport près.mainnet · desktop

Les frais arrivent là où la page le dit

Chaque achat et chaque vente porte ses frais en deux transferts : 70 % vers la trésorerie publiée, 30 % vers le wallet de rachat. Mesuré on-chain.

Résultat0.5% de base et 0.25% avec parrainage, reçus par le vault de la trésorerie au lamport près.mainnet

Un paiement de parrainage, dans sa limite on-chain

Le worker de paiement a déplacé la récompense d'un parrain depuis le vault de parrainage et l'a rechargé depuis les revenus, les deux via des limites de dépense Squads qui plafonnent ce qu'une clé de worker volée pourrait jamais déplacer.

RésultatPaiement et recharge confirmés ; la clé du worker peut déplacer au plus 1 SOL par jour depuis le vault de parrainage et 3 SOL par semaine depuis les revenus, uniquement vers le vault de parrainage.mainnet

Charge et edge

Toute la surface publique tourne sur une seule petite machine derrière un edge mondial. Elle a été chargée depuis l'extérieur pendant que le limiteur était sondé en parallèle.

RésultatEnviron 60 chargements de page par seconde ; p95 à 1.7 s avec 50 connexions simultanées ; zéro erreur serveur sur la fenêtre. Les limites de débit ont tenu sous une rafale parallèle.depuis l'extérieur de l'hôte

Le pool sur lequel nous reposons

Construit sur le plus grand pool blindé de Solana. Qui n'est pas à nous.

Privacy Cash

Les fonds au repos sont dans Privacy Cash : des preuves Groth16 construites dans votre navigateur, un arbre de notes Poseidon, des nullifiers contre les doubles dépenses, un code source public, une cérémonie de trusted setup avec des contributeurs externes nommés, et des audits de plusieurs cabinets avec une vérification formelle par-dessus. Nous avons choisi un pool opéré par une partie qui n'est pas nous, pour que rien de nous ne figure dans la ligne qui compte. Ses pouvoirs sont listés face aux nôtres dans le tableau ci-dessus.

Comment vérifierRapports d'audit dans le dépôt du pool Code source du programme et registre de la cérémonie850 000+ notes, et ça continue

Fichiers de preuve épinglés

Le circuit et la clé de preuve que votre navigateur utilise sont récupérés depuis la release publiée du pool et vérifiés par taille et par hash de contenu avant utilisation. Un fichier modifié est refusé, pas chargé.

Épinglécircuit2.wasm · 3,208,099 B · fe752ced413ed3a47b5bfa94199728ccb103c6eacircuit2.zkey · 16,461,496 B · 75c13038c7dff9ddeea5b43fa08fca545394bfa3hashes de blob git de la release amont

NEAR Intents, pour les autres chaînes

Arriver depuis Zcash, Bitcoin, Ether ou USDC, ou repartir vers eux, passe par NEAR Intents (son service 1Click), appelé depuis votre navigateur sans clé WiSP ni serveur WiSP entre les deux. Une sortie est un retrait ordinaire du pool vers l'adresse de dépôt qu'il indique ; une entrée arrive à votre adresse de financement par un swap. C'est une entreprise distincte, sous ses propres conditions : elle peut retenir, filtrer ou rembourser un swap, et WiSP ne peut pas intervenir. L'app la nomme sur l'écran où elle est utilisée, et ne route jamais un trade par elle.

Comment vérifierLa documentation et les conditions du servicedevis, adresse de dépôt et statut seulement

Où vont les frais

Un multisig que vous pouvez lire, avec un worker qui ne peut pas s'enfuir.

Trésorerie : 2 sur 3

Les frais sont payés par la transaction que vous signez vers le vault 0 d'un multisig Squads. Les déplacer demande deux signataires sur trois. Les récompenses de parrainage sont payées depuis le vault 1 par un worker automatisé dont la clé n'est autorisée qu'à exactement deux choses, appliquées par le programme Squads, pas par nous : jusqu'à 1 SOL par jour hors du vault 1 vers n'importe qui, et jusqu'à 3 SOL par semaine hors du vault 0 vers le vault 1 seulement.

Comment vérifierVault 0, la trésorerie des frais Le multisig et ses limites de dépenseon-chain, lisible par tous

Les frais sont dans les octets

Il n'y a aucun réglage de frais sur un serveur. Les 0.5% (0.25% avec une invitation, pendant 30 jours) sont deux instructions de transfert dans la transaction, 70 % vers la trésorerie et 30 % vers le wallet de rachat, construites dans votre navigateur et affichées sur le reçu avant que vous signiez. Un destinataire ou un montant différent échoue à l'inspection et n'est jamais signé.

Comment vérifierOuvrez n'importe quel achat WiSP dans un explorateur : deux transferts système à côté du trade, vers le vault ci-dessus et vers le wallet de rachat.

30 % de chaque frais rachète du $WiSP

Le wallet de rachat reçoit 30 % de chaque frais de plateforme dans le trade même qui le paie. Un service qui ne détient que la clé de ce wallet achète du $WiSP avec sur PumpSwap environ toutes les six heures et brûle chaque token acheté. Il ne peut dépenser que ce que les trades lui ont envoyé.

Comment vérifierLe wallet de rachat Chaque achat et chaque burnon-chain, lisible par tous

Le token

$WiSP : un seul mint, un seul déployeur, un seul verrouillage.

Chaque adresse qui compte, et où la lire.

Le seul token WiSP

Mint USEu5qroduzuvrSZfvs3xM1MwyU83joapQF5LMyWiSP, créé sur pump.fun via kontract.fun par le déployeur fTQGbMHMt4MeanYpZp8PoecvWCzRHWitVVJEY5aWiSP, en une seule transaction qui a aussi acheté 25% de l'offre. Autorité de mint et de gel : aucune. Tout autre token appelé WiSP n'est pas à nous.

Comment vérifierLe mint Le wallet déployeur La transaction de lancementon-chain

24.5% verrouillés pour cent ans

245 000 000 WiSP sont dans un escrow Jupiter Lock créé par le déployeur juste après le lancement : mode d'annulation « none », donc personne, nous compris, ne peut l'annuler ; tout se déverrouille à un cliff cent ans après la création ; le destinataire est le vault 0 du multisig de trésorerie. Le multisig peut repointer le destinataire vers une trésorerie qui lui succède, et ne peut rien faire d'autre.

Comment vérifierL'escrow La transaction de verrouillageProgramme Locp…qjn (Jupiter Lock) ; lisez le destinataire, le mode d'annulation et le cliff depuis le compte.on-chain

0.5% au wallet de l'équipe

5 000 000 WiSP envoyés dans la même transaction que le verrouillage au wallet de l'équipe fomo.family 4BepgEZjxxGtzyJBjUoxAyFh3p1HZchfdZ2sX3BvUa9A.

Comment vérifierLe wallet de l'équipe Le transfertOuvrez la transaction de verrouillage sur le wallet déployeur : un transfert de token à côté de la création de l'escrow.on-chain

Les clés de la trésorerie

Le multisig CL2NZ7GpDbQkHqhwVLvAkECNopL5HvYGWKhQTiyAECF9 exige 2 signataires sur 3 : 13mnth9zxXnT757yBhXD55Qy2gzjFeeDGCHTh3uSWiSP, LvA7V1y4DwL5o1di9k8XQERm1ju7zKEz2c4YUK1WiSP, fsFPPMxATYPyJMMRwuzaVgmHNv1Jz3AvMvhe9CaWiSP. Le worker de paiement 2GUzPU9GxkPaN3AxoayGeppgSf2jNqCBtoASFAhZWiSP détient une clé que le programme Squads n'autorise qu'à exactement deux choses : payer jusqu'à 1 SOL par jour depuis le vault 1 Dooj5zFzeH5Qbz3gE375uJQZMhupqtsCnkYNJUTKrhRd à n'importe qui, et déplacer jusqu'à 3 SOL par semaine du vault 0 vers le vault 1.

Comment vérifierLimite de dépense : 1 SOL par jour Limite de dépense : 3 SOL par semaine Les membres du multisigon-chain

Pas encore fait

Ce que cette page ne peut pas affirmer aujourd'hui.

Nous préférons que vous le lisiez ici plutôt que de le découvrir.

AUDITAucun audit tiers du client WiSP n'a été réalisé. Le pool qu'il utilise est audité ; le code propre de WiSP ne l'est pas. Des cabinets d'audit sont approchés à mesure que la plateforme gagne en traction ; d'ici là, dimensionnez vos positions comme sur n'importe quel client non audité.

SOURCELe code source du client n'est pas encore publié, vous ne pouvez donc pas reconstruire l'app et comparer les hashes. D'ici là, « nous servons l'app » est la seule ligne ci-dessus où vous nous faites confiance comme à n'importe quel site web.

Vous avez trouvé quelque chose ?

Dites-le-nous d'abord.

Si vous trouvez un moyen de faire perdre ses fonds à un utilisateur, de relier ses wallets, ou de faire mentir l'app, nous voulons le rapport privé avant le public, et nous dirons par écrit ce que nous en avons fait. Écrivez à security@usewisp.trade. Les hashes des builds sont publiés à la mise en service.

La confiance est un reçu, pas une promesse.

Conformité Confidentialité Accueil