信任，需要明确边界

你的密钥。
明确的边界。

了解签名内容、验证范围，以及仍需信任的环节。

隐私收款正在小范围实验测试。绑定收款码或收款前，请先了解风险。

我们绝不会做的事

绝不索要助记词或私钥。
绝不托管资金。
隐私收款绝不要求签署交易。
应用页面绝不加载第三方脚本、分析工具或 CDN 代码。

签名发布授权

发布时需签名消息以证明你控制域名，该消息无法转移资金。在主域名的 /create 和 /publish/* 页面上，UniSat 访问仅限于：

requestAccounts
getAccounts
getNetwork
getPublicKey
signMessage(message, "bip322-simple")
sendBitcoin

付款使用 sendBitcoin ，仅针对服务器刚重新核验的 UniSat 订单，仅发送至订单付款地址、金额完全一致、上限 0.01 BTC，且须你在 UniSat 确认。btc.glass 不自行构建或签署交易。也可使用任意钱包扫码付款。

服务器将公钥与地址绑定，实时查询 SAT20 和两个 ord 镜像，并验证包含域名、持有人、精确 HTML 哈希、任务 ID 和 UTC 签发时间的 BIP-322 签名。授权须在签发后十分钟内接受，每个任务仅一次；报价和两笔订单均需此授权。地址、公钥、消息和签名随任务保存。支持 key-path Taproot、P2WPKH、P2SH-P2WPKH，拒绝传统 P2PKH 消息签名。也可手动发布：下载 HTML 无需钱包，文档介绍了如何自行在 UniSat 铭刻。

隐私收款的独立消息签名入口仍为 /bind。通配子域名网站是独立且不可信的内容。切勿在这些网站签署发布授权。

签名内容

btc.glass Silent Receive v0
warning: only sign this on https://btc.glass/bind
purpose: bind
domain: btc.glass
network: bitcoin-mainnet
name: alice.btc
sp1: sp1q...
owner: bc1p...
nonce: 0123456789ABCDEFGHJKLM
issued: 2026-10-02T00:00:00Z
expires: 2026-12-31T00:00:00Z
This signature only publishes a receiving code. It cannot move any funds.

独立验证

打开验证工具，或离线保存。
粘贴来自以下接口的 JSON 记录： /api/record/alice.btc.
确认 BIP-322 签名、sp1、有效期及当前持有人均验证通过。
对比 SAT20 与 UniSat 的持有人及域名铭文内容。

威胁模型

位于 *.btc.glass 的域名网站是铭文，可能由任何人控制。网站根页面不在沙箱内；每个域名拥有独立源。直接打开 /content 则在沙箱中运行。域名网站不共享以下地址的官方界面： https://btc.glass/bind。钓鱼子域名仍可仿冒绑定页面，因此仅在准确的主域名 URL 签名，并在绑定后 72 小时内复查自己的收款页面。

若浏览器无法直接访问 SAT20 和 UniSat，持有人检查将依赖 btc.glass 服务器。页面会标明所用检查模式。被攻陷的服务器无法伪造持有人签名，但可重放旧的已签名记录。独立验证签名和持有人，并不能证明最新绑定或撤销状态。

收款页面可见时每 60 秒复查一次，从后台返回、窗口获得焦点以及复制前也会复查。检查中、检查失败、签名到期或绑定变化时均隐藏收款码（需刷新以查看新绑定）。每次检查在 15 秒后超时。服务器的持有人缓存最长 120 秒，因此索引正常时，转移确认并被索引后约 3 分钟内应隐藏旧码。这不能防范服务器被攻陷或索引延迟。已保存的收款码和截图无法撤回。

技术控制无法完全消除钓鱼子域名。其余防线包括主域名签名提示、手动比对收款码和 72 小时新绑定标记。

目前应用与通配子域内容仍共用可注册域名。现有控制隔离了源和界面；更广泛推出前，独立应用域名可进一步降低钓鱼混淆风险。

联系我们

安全联系邮箱： security@btc.glass