AlgoVanity подбирает адреса Algorand прямо в браузере — ключи не попадают на сервер

Адрес, который складывается в MONEY

MONEYMBRSMUAM2NGL6PCEQEDVHFWAQB6DU47NUS6P5DJM4OJFN7E7DSVBA¹² — настоящий аккаунт в Algorand: его пополнили в тот же день, когда в мае 2021 года зарегистрировали домен инструмента, породившего этот адрес; сегодня на нём около 10.4 ALGO, а последняя активность в блокчейне относится к марту 2025 года. И это адрес, который складывается в слово MONEY, — и никакой удачи здесь нет: аккаунт на Allo¹ служит публичным примером на algovanity.com³ — бесплатном генераторе, работающем в браузере и создающем адреса Algorand под заказ. Вы вводите ключевое слово, выбираете, где оно должно стоять, и страница крутит лотерею, пока не найдётся подходящий адрес, — а затем выдаёт парольную фразу восстановления к нему.

Почему красивый адрес — это лотерея

Адрес Algorand не выбирают — его выводят. Любой аккаунт начинается со случайно сгенерированной пары ключей Ed25519, а адрес из 58⁴ символов — это base32-кодировка хеша открытого ключа; алфавит состоит из 32 знаков: заглавные A–Z и цифры 2⁵–7. Из-за этого алфавита в корректно сформированном адресе Algorand не встречаются 0, 1, 8 и 9 — эту особенность заметили участники сообщества⁶, когда разбирались с генераторами красивых адресов. Поскольку адрес — одностороннее обязательство по отношению к ключу, единственный путь к ключевому слову лежит через перебор: сгенерировать пару ключей, проверить полученный адрес, повторить. Каждая попытка требует полной генерации ключа, поэтому ожидаемое время растёт экспоненциально с длиной слова — примерно 32 в степени, равной длине слова, для совпадения в фиксированной позиции; именно поэтому сайт советует брать ключевые слова короче пяти символов и предупреждает, что ждать придётся от секунд до нескольких часов.

Форумные записи тех времён дают представление о цене такого терпения: утилита PureStake на Python в 2021 году выдавала около 10,000⁷ попыток в секунду на одно ядро и обычно находила четырёхбуквенное слово за 10–20 секунд, тогда как поиск пятибуквенного SCHOL прошёл 15.7 млн попыток и больше семи минут, прежде чем увенчался успехом («Генерация красивых адресов»⁸). Ответ AlgoVanity — параллелизм: по одному веб-воркеру на каждое ядро процессора (при неудаче — три), каждый в цикле вызывает функцию generateAccount из официального SDK Algorand, а панель управления считает сгенерированные адреса, скорость поиска, найденные совпадения и затраченное время. Ограничения на ввод повторяют сам алфавит: в ключевом слове допустимы только заглавные буквы и цифры 2⁹–7, потому что ничего другого в адресе всё равно появиться не может.

Когда совпадение найдено, инструмент подсвечивает ключевое слово внутри адреса, предлагает кнопки копирования и опцию «Reveal key», показывающую парольную фразу восстановления аккаунта из 25¹⁰ слов для импорта в кошелёк вроде Pera (инструкция по восстановлению¹¹). Каждый результат ведёт на обозреватель блоков Allo. Три метода совпадения задают, сколько будет идти поиск:

Ключи не уходят в сеть

Главный принцип AlgoVanity — ключевой материал никуда не передаётся. Если посмотреть, к каким хостам обращается открытая страница, видно, что запросы идут только к её собственному хосту: ни узла Algorand, ни индексатора, ни аналитики. В FAQ это сказано прямо: «ваш адрес и парольная фраза никогда не передаются по сети, а генерация адреса выполняется локально с помощью официального SDK Algorand». То же самое создатель заявил при запуске в анонсе на r/AlgorandOfficial¹³: «Сайт работает полностью на стороне клиента, и его можно запустить офлайн, если хотите быть особенно осторожны». Архитектура это подтверждает: всё приложение — статические файлы на Svelte, раздаваемые через AWS CloudFront, поэтому бэкенда, который мог бы хранить или пересылать ключи, попросту нет, а исходный код¹⁴ открыт под лицензией MIT, и его может проверить любой.

О компромиссе по безопасности сказано прямо

Ответ на вопрос «Это безопасно?» в FAQ начинается со слов «И да, и нет» — и на «нет» стоит обратить не меньшее внимание. Парольная фраза восстановления, побывавшая в памяти веб-страницы, — это фраза, которую в принципе могли прочитать скомпрометированный браузер, вредоносное расширение или подделанная копия инструмента. Сайт это признаёт: «использовать онлайн-инструменты для генерации адресов или управления приватными ключами никогда не бывает абсолютно безопасно». Самая надёжная проверка — запустить открытый код самостоятельно: в README описано, как клонировать репозиторий и поднять локальный dev-сервер, — вместо того чтобы доверять совпадению сборки, которую сегодня отдаёт CDN, с проверенным исходником.

Тем, кто всё же генерирует адрес в браузере, советуют дополнительную защиту — рекиинг: механизм Algorand, позволяющий аккаунту делегировать право подписи другому ключу, не меняя адрес и не перемещая активы. На практике это означает: сгенерировать красивый адрес, записать его парольную фразу и сразу сделать рекиинг, чтобы единственным подписантом стал ключ, который уже под вашим контролем, — в идеале хранящийся на аппаратном кошельке. С этого момента парольная фраза, только что побывавшая в памяти браузера, больше не может авторизовать транзакции, и утечка перестаёт означать потерю средств. Сайт ссылается на инструкцию Pera¹⁵, где операция описана как «смена замков в вашем доме. Тот же дом, тот же адрес, новый ключ». Портал для разработчиков Algorand пропагандирует ту же схему — сначала красивый адрес, потом рекиинг — с 2021 года (руководство¹⁶). Об обратной стороне предупреждает Pera: некоторые dApps не полностью поддерживают аккаунты после рекиинга, поэтому перед крупными суммами стоит провести небольшую тестовую транзакцию.

Пять лет на рынке, всё ещё поддерживается и уже не один

AlgoVanity пережил бум ранних инструментов экосистемы. Домен зарегистрировали 2 мая 2021 года — в тот же день был сделан первый снимок в Wayback Machine¹⁷ — и репозиторий до сих пор получает коммиты, включая редизайн интерфейса в июне 2026 года и уборку в июле 2026 года; в подвале сайта стоит 2026 год, а на GitHub — 17¹⁸ звёзд. Инструмент разошёлся по сообществу: ветка на форуме¹⁹ в январе 2023 года, собиравшая интересные проекты на Algorand, отметила и сам инструмент, и его репозиторий, а аккаунт в Bluesky, публикующий находки²⁰, представил его как генератор, работающий в браузере.

Сама категория красивых адресов с тех пор сместилась в сторону специализированного железа. Грантовая программа сообщества xGov в третьем периоде голосования одобрила предложение генератора с ускорением на GPU²¹, запросив 47,474²² ALGO; его автор Марчин Заве́йский поддерживает активно развивающийся rsagg²³ — генератор на Rust/OpenCL, в README которого есть собственное честное предупреждение: «Утилита не проходила аудит, поэтому обязательно делайте рекиинг всех аккаунтов, созданных с её помощью». Это тот же совет, который AlgoVanity даёт с первого дня: адрес — это украшение, ключ — это безопасность, а рекиинг — мост между ними.

Источники

• AlgoVanity³
• Ripe/algovanity на GitHub¹⁴
• Форум Algorand: в адресах Algorand не бывает девяток⁶
• Форум Algorand: генерация красивых адресов⁸
• Форум Algorand: «Давайте изучать Algorand!»¹⁹
• xGov-100: генератор красивых адресов на GPU²¹
• dragmz/rsagg на GitHub²³
• Pera: как сделать рекиинг аккаунта Algorand¹⁵
• Портал для разработчиков Algorand: генерация и защита красивого адреса с помощью рекиинга¹⁶
• Ветка запуска на r/AlgorandOfficial¹³
• Wayback Machine: первый снимок algovanity.com¹⁷
• «Давайте изучать Algorand!» — General — Algorand²⁴
• В адресах Algorand не бывает девяток (красивый адрес) — General — Algorand²⁵
• Генерация красивых адресов — General — Algorand²⁶
• GitHub — nxet/algovanity: генерация красивых адресов для блокчейна Algorand²⁷
• r/AlgorandOfficial в Reddit: новый, более быстрый инструмент для генерации красивых адресов²⁸
• Восстановление или импорт аккаунта Algorand с помощью парольной фразы | Pera Wallet — база знаний²⁹