13 марта 2025 года SSP Wallet v1.16.0 закрывает длинную дугу и открывает новую. Аудит с Halborn, начавшийся с Solidity-контрактов Account Abstraction, теперь распространяется на весь стек — браузерное расширение SSP Wallet, сервис Relay, мобильное приложение SSP Key и поддерживающие библиотеки. Этот же релиз приносит swap внутри кошелька, чтобы пользователи могли обменивать активы между поддерживаемыми SSP сетями, не покидая мультиподпись.
Halborn завершает полный аудит SSP
Прежний обзор Halborn касался уровня смарт-контрактов: Factory и Account Implementation за каждым аккаунтом Ethereum и Sepolia. Он вернулся чистым в самом важном, и SSP в v1.9.0 переразвернул вычищенные версии. Новое — то, что охват теперь распространён на всё остальное.
В охвате этого раунда: браузерное расширение SSP Wallet, включая поверхность управления ключами и логику мультиподписи, ведущую каждую трату; SSP Relay — координационный сервис, позволяющий расширению и мобильному Key вести диалог при совместной подписи; и приложение SSP Key, хранящее вторую половину ключа на телефоне пользователя. Поддерживающие библиотеки рассмотрены вместе с ними.
Итог: каждая часть SSP, которая касается средств пользователя — код, строящий транзакции, код, обменивающий данные подписи между устройствами, и код, производящий вторую подпись — теперь независимо проаудирован. Опубликованная страница Halborn для этого раунда живёт по адресу halborn.com/audits/influx-technologies/ssp-wallet-relay-and-key.
Почему «полностью открытый код + полностью проаудированный + мультиподпись на множестве активов» — редкость
Большинство кошельков берут две из трёх. Многие открыты, но кастодиальны или с одной подписью. Многие — мультиподпись, но в одной экосистеме — только Bitcoin или только Ethereum — и не несут ту же модель между сетями. У некоторых есть аудит бинарника, но поддерживающая инфраструктура — relay, мобильное приложение, библиотеки — закрыта или непроверена.
Сочетание SSP необычно. Кошелёк открыт под пермиссивной лицензией. Relay открыт. Приложения SSP Key для Android и iOS открыты. Лежащие в основе криптобиблиотеки открыты. Мультиподпись — поток по умолчанию на каждой поддерживаемой сети, а не переключатель для осторожных. И — теперь — каждая из этих частей проаудирована Halborn.
Мы не утверждаем, что SSP — единственный в мире кошелёк с таким сочетанием. Мы говорим, что сочетание достаточно редкое, чтобы указать на страницы аудита, репозитории и архитектуру и сказать: вот так на практике выглядит полностью открытый, полностью проаудированный мультиподписный стек с множеством активов. Если существует сопоставимый стек, мы тоже хотели бы прочесть его отчёты.
Функция swap работает
Вторая история v1.16.0 — swap внутри кошелька. С этого релиза пользователи могут обменивать активы между поддерживаемыми SSP сетями — Bitcoin, Ethereum, Bitcoin Cash, Zcash, Flux и распознаваемые кошельком ERC-20 — прямо из интерфейса SSP, не экспортируя ключи, не копируя адреса между вкладками и не передавая средства под чужую опеку перед расходом.
Модель хранения та же, что управляет любой другой тратой в SSP. Средства остаются на мультиподписных адресах пользователя до подписи swap. Когда пользователь принимает котировку и подтверждает её, транзакция, финансирующая swap, конструируется в кошельке, совместно подписывается расширением и SSP Key и только затем рассылается. Нет промежуточного «горячего» кастодиального счёта, держащего баланс «пока swap в ожидании». Те же два ключа, что подписывают всё остальное, подписывают и swap.
Котировки получают через партнёров-маршрутизаторов, агрегирующих ликвидность между сетями. Кошелёк показывает курс, ожидаемый выход и комиссию перед подписью. Не нравится котировка — не подписывайте; и средства никогда не покинут мультиподпись. Зелёную кнопку всё так же нажимает пользователь.
Чтение отчётов об аудите
Если предпочитаете читать работу напрямую, а не доверять нашему резюме, Halborn публикует отчёты в своём аудит-хабе. Страница текущего раунда — halborn.com/audits/influx-technologies/ssp-wallet-relay-and-key. Прежний обзор контрактов Account Abstraction — предыдущий эпизод этой истории — живёт по отдельному URL на том же сайте и резюмирован в записке к v1.9.0.
Полные релизные заметки, в которых появляется Swap и учтена работа по аудиту, — в релизе v1.16.0 на GitHub. Аудит — это не одна веха; это позиция, а публичная запись у Halborn — это квитанция.