Где хранятся публичные и секретные ключи в Web-кошельке Telegram?

Question

[PerfectRayStudio]

В Telegram существует встроенный кошелёк Wallet. Где хранятся публичные и секретные ключи? На сервере? С обычными аппаратными кошельками всё ясно, а вот с WEB очень интересно. Тот же самый вопрос подойдет и для обычного MetaMask расширения в браузере. Тоже не ясно как они хранятся.

Создание кошелька с этими ключами выглядит так:

const TonWeb = require('tonweb');

const tonweb = new TonWeb();
const wallet = tonweb.wallet.create({ workchain: 0 }); // 0 - основной рабочий блокчейн

async function createWallet() {
    const keyPair = wallet.generateKeys();
    const address = await wallet.getAddress();

    console.log("Публичный ключ:", keyPair.public);
    console.log("Приватный ключ:", keyPair.secret); // Куда его сохранять для дальнейших транзакций?
    console.log("Адрес кошелька:", address.toString());
}

createWallet();

Answer 1

[Василий Банников]

На сервере.
Про метамаск лучше отдельный вопрос задай, но там по идее локально должно всё храниться.

Answer 2

[rPman]

Если говорить про надёжность и доверие (принципиальная возможность разработчикам кошелька/месседженера и владельцам веб серверов украсть секретные данные и соответственно доступ к криптовалюта), то не важно где хранятся эти данные, а важен поставщик кода приложения, работающего с ними.

Веб сервер и браузер не дают никакого контроля по версии кодовой базы (я говорю про код, исполняемый на клиенте, а уж про серверный и подавно речи нет, там даже проверить текущий исполняемый код), т.е. измененный код, с логикой кражи данных, может поступить к пользователю по любой логике, например персонально определенному в определенный момент времени, и никто этого не заметит.

Чуть лучше ситуация с расширениями, можно отключить их авто обновление, и проверять их поведение самостоятельно.

Поэтому на вопрос можно ответить - секретные ключи хранятся на веб сервере и копируются в браузерное хранилище. На словах же могут говорить что секретные ключи не копируюатся и даже не предоставлять функционал, вытекающий из этого.