# ProofForge: внутренняя проверка безопасности, 25.10.2026

Автор: Codex, участвовавший в разработке проекта. Статус: ограниченная внутренняя техническая проверка. Независимый внешний аудит не проводился; сертификат аудиторской организации не выдавался.

## Область и метод

Просмотрены исходники ProofForgeToken, FounderVesting, MarketplaceEscrow; привязка deployment/runtime к BSC; серверные пути авторизации/SIWE, сессий, устройств и прав; индексирование платежей; клиентские unsigned plans; работа статического webroot и backup. Использованы существующие регрессионные проверки и актуальные базы advisory npm/pip-audit. Проверка не является формальным доказательством отсутствия уязвимостей, комплексным пентестом или независимым аудитом.

## Фактические результаты

- Python: 79 PASS, включая авторизацию, права, mainnet guards и production-adapter regression.
- JavaScript: 24 PASS, включая проверки транзакционных планов и кошельков; это автоматические проверки, не физический мобильный E2E.
- Локальная EVM/план развёртывания: 5 PASS. Проверены 90/10, возврат, дедлайн, спор, повторный расчёт и неверная подпись; реальные средства не использовались.
- pip-audit requirements с разрешёнными транзитивными зависимостями: 27 пакетов, 0 известных уязвимостей на момент проверки. Отдельно 3 прямые зависимости: 0.
- npm audit до изменения: 4 high записи из одной уязвимой цепочки Zod/Hardhat, 0 critical. Production-only npm audit: 0.
- Zod зафиксирован через overrides на исправленной версии 4.6.6; lockfile обновлён в отдельной копии проекта. После чистой установки npm audit: 0, сборка и повторные JS/Escrow tests PASS. Предыдущие исходники и архивы сохранены.
- Существующие источники контрактов и approved-build.json не изменены; заново скомпилированный Escrow bytecode сопоставляется с утверждённым артефактом. Контракты в сети не обновлялись.

## Найденное и исправленное

S-01: GHSA-mrhx-c7xc-m3w5, uncontrolled memory consumption в Zod <4.6.6. Уязвимость относилась к development toolchain; в браузерном runtime и Python backend Zod не используется. Обновлено до 4.6.6, повторный audit чист. Источник: https://github.com/advisories/GHSA-mrhx-c7xc-m3w5 .

Ранее исправленные в этом release проблемы старта Mainnet WSGI (неверный объект Marketplace) и backup-манифеста (WAL до закрытия соединения) остаются документированными в MAINNET-ACTIVATION-REPORT.md; их регрессии сохранены. Эта проверка не скрывает историю инцидентов.

## Остаточные риски и ограничения

- Публичный Testnet, независимый аудит, формальная верификация, fuzz/property-based кампания и полноценный внешней стороной пентест не выполнены.
- Полная реальная Mainnet-покупка/доставка/расчёт/вывод не подтверждена. Mainnet включён по разрешению владельца; внешний API ранее подтвердил правильный Escrow.
- Уполномоченный ключ устройства покупателя подтверждает доставку. Это не подтверждает качество товара или постоянное хранение файла. Компрометация устройства даёт возможность подписать delivery consent в рамках его полномочий.
- После доставки нужен своевременный onchain settle: если расчёт не состоялся за 24 часа, покупатель может получить возврат. Автоматического сервера, оплачивающего gas за пользователей, нет. Арбитраж также ограничен этим сроком.
- Арбитр и контроль казначейства централизованы на согласованных кошельках. Нет гарантии, что резервные кошельки заблокированы, кроме отдельного контракта вестинга.
- API использует доверенные RPC. Два endpoint и finalized уменьшают риск рассогласования, но не заменяют собственный узел или криптографическую проверку всех RPC-ответов.
- Картинки внешних HTTPS URL могут раскрывать IP посетителя владельцу внешнего image-сервера; Referrer-Policy=no-referrer не скрывает IP. Загружаемые на сайт preview требуют явного согласия.
- Ограничения пропускной способности, доступности author-PC, SQLite и memory relay сохраняются; DDoS-устойчивость этим набором тестов не доказана.
- Firefox, физический телефон и новый полный desktop GUI E2E в этой проверке не выполнялись.

## Изменения интерфейса

Повторяющаяся надпись на Tokenomics заменена ссылкой на /security/. Реальный статус независимого аудита сохранён в отчёте и раскрываемом разделе безопасности. Ни сертификат, ни обещание полной безопасности не добавлены. Логотип Tokenomics теперь ведёт на корень сайта. Значения токеномики, адреса, вестинг и ссылки BscScan сохранены.

Доказательства: reports/4.0.2/security-*; публичная выжимка evidence.json. Private keys, database, server.secret и данные покупателей в отчёт не входят.