Modelo de seguridad y limitaciones

Qué está oculto

El remitente, el destinatario y el importe de un pago.
El memo.
Qué notas gasta un pago: las notas gastadas solo muestran un nullifier.

Qué es público

Que se produjo un pago y cuándo se incluyó en un bloque.
La comisión que paga cada transacción y, por tanto, aproximadamente cuántas acciones tiene.
El suministro total de cada moneda.
En un intercambio, las dos cantidades que pasan por el pool y las reservas del pool.
En el puente, todo lo del lado de Ethereum: tokens, importes, direcciones.
El momento: la hora de un bloque y su posición en la cadena.

Qué puede saber un operador de nodo

Un nodo recibe un pago terminado por HTTPS y ve la dirección de red desde la que llegó. Alguien que vigile la red del nodo, o el propio nodo, podría vincular esa dirección con el momento en que se envió un pago. Tint no oculta tu dirección IP. Si eso te importa, llega al nodo a través de una red de confianza.

El proxy del nodo público no guarda registro de acceso. Es una decisión del operador, no algo que puedas verificar desde fuera.

En el teléfono

Las claves proceden de una frase de recuperación de 24 palabras generada en el dispositivo. La frase y las claves nunca se envían a un nodo.
El acceso está protegido por un código y, si lo activas, Face ID o Touch ID.
El navegador integrado muestra las páginas en una vista web aislada sin acceso a la cartera. Sus datos viven en memoria y se descartan al cerrarlo.
La comprobación de phishing del navegador juzga solo las direcciones. Puede pasar por alto un sitio fraudulento nuevo y no oculta tu dirección IP de los sitios.

Una cartera defectuosa u hostil solo puede producir pagos que el libro mayor rechaza: el código de la cartera no es crítico para el consenso. Pero una app maliciosa puede robar las claves que guarda, así que instala la app solo desde la invitación de TestFlight que te dieron.

Consenso y descentralización

El consenso es proof-of-stake BFT con un conjunto de validadores fijado en el génesis.
En la red de pruebas pública los cuatro validadores funcionan en un solo servidor. Quien controla ese servidor controla la cadena.
Los pagos todavía no se retransmiten entre nodos: un pago se incluye cuando el nodo que lo recibió lidera un bloque.
El estado del libro mayor se guarda en memoria y se reconstruye a partir de los bloques almacenados al reiniciar.
La red puede reiniciarse: el primer bloque puede sustituirse y entonces cada cartera lee una cadena nueva.

Criptografía

La privacidad se apoya en el protocolo Orchard y las pruebas Halo 2, que no necesitan una configuración de confianza. El uso que Tint hace de ellos, incluida su extensión multimoneda, el pool de intercambio y el código que los rodea, es nuevo y no ha sido revisado por terceros. Un error ahí podría romper la privacidad o permitir que se creen o se pierdan monedas.

El puente

El puente es custodial: sus firmantes deciden qué se libera, y el propietario del contrato elige a los firmantes y puede pausarlo. Los límites por pago y por día acotan el daño de un error. Consulta Puente.

Qué hacer

Considera que cada moneda de esta red no vale nada y que cada saldo es temporal.
Guarda la frase de recuperación en papel y no se la muestres a nadie.
No uses aquí la frase de recuperación real de otra cartera.
Usa las redes públicas de la cartera con el mismo cuidado que usarías en cualquier otro sitio: contienen dinero real y sus transacciones no se pueden deshacer.