Что защищает Blomo Wallet

Кто может двинуть деньги

Один человек: тот, кто знает пасскод на устройстве, где живёт кошелёк, или тот, у кого есть фраза восстановления. Blomo в этом списке нет.

Это не обещание хорошо себя вести, а отсутствие возможности. Ключ у нас лежит только в зашифрованном виде, а пасскода, который его открывает, нет вовсе. Нет ни внутреннего инструмента, ни экрана в админке, ни процедуры поддержки, которая переводит деньги из Blomo Wallet, — такому инструменту просто нечем работать.

Единственное исключение — co-control, и он существует только если пользователь сам его включил. До этого и привязанная карта тратить из кошелька не может.

Что даст злоумышленнику взлом Blomo

Допустим худшее честно: нашу базу скопировали целиком. В копии лежат зашифрованные ключи — и ничего, чем их открыть.

Чтобы открыть, нужен пасскод, которого в базе нет, и вторая часть, которой там тоже нет: её держит отдельный сервис и отдаёт только вошедшему пользователю, считая попытки. Значит, злоумышленник не может сесть дома и перебирать пасскоды по украденной копии. Каждая попытка обязана вернуться через Blomo, где она видна и замедлена.

В этом весь смысл устройства. Успешно и тихо, в своём темпе, проходит именно офлайн-перебор — и именно его такая схема делает невозможным.

Фраза восстановления — единственная резервная копия

Фраза показывается один раз, при создании кошелька, и записать её нужно именно тогда. Blomo её не видит и копии не хранит.

Это работает в обе стороны, и честно сказать об этом прямо: с фразой потерянный пасскод — неудобство, без фразы потерянный пасскод — потерянный кошелёк, и помочь мы не сможем. Сервис, который умеет восстановить ваш ключ без фразы, — это сервис, который умеет и забрать ваши деньги.

Подпись происходит там, где ключ

Транзакция собирается и подписывается на устройстве. До Blomo доезжает готовая подписанная транзакция, которую мы передаём в сеть.

Ключ никуда не едет. Пасскод никуда не едет. Даже сервер Blomo, целиком захваченный кем-то другим, видит только то, что через мгновение и так покажет любой публичный обозреватель блоков.

Co-control — по желанию и только по вашим правилам

Привязка кошелька к карте Blomo включает co-control: ключ разделяется на две доли, одна у пользователя, другая у Blomo, и подпись требует обеих. По умолчанию это выключено и включается осознанно.

Доля Blomo подписывает не что угодно. Она подписывает в пределах лимита трат, списка разрешённых получателей и стоп-переключателя — все три пользователь задаёт заранее, и все три проверяет signer-сервис, а не наши добрые намерения.