审计与代码
这是我们的审计立场，明说于此。我们宁愿把预算与精力投入到你能验证的架构上，而不是一张证书上。
Ownbit 的代码经过审计吗？
- Ownbit 没有委托单独的商业（付费）审计，也不打算做。
- 代码库已在生产环境成熟运行多年。
- 它经过了多个领先 AI 模型的安全审查。
- MultiSig 智能合约（EVM V10、V11、V21 以及 Solana 程序）已于 2026 年 10 月接受 GPT-6-Astra 与 Opus 5 的审查。两份报告均已在信任中心完整公开。
- 链上 MultiSig 合约是公开的，任何人都可在 github.com/bitbill/ownbit-multisig-contracts 审查。
我们不主张的是：ISO 27001、SOC 2，或来自 CertiK、SlowMist、Trail of Bits 等机构的第三方审计；受 NDA 约束的客户委托审计；或可复现构建。我们宁愿如实说明存在什么，也不去暗示一张我们并不持有的证书。
自 5.0 起开源了什么
从 Ownbit 5.0 起，iOS 应用中触及你私钥的代码——助记词生成、密钥存储（Ownbit Vault v2，自 5.1 起）、密钥派生与交易签名——以 MIT 许可证开源，见 github.com/bitbill/ownbit-app-50，两个应用共用的 JavaScript 签名包也一并开源；Android 核心将随后开源。用户界面以及与 Ownbit 服务器通信的代码仍保持闭源，而你的资金从不依赖它们的保密：安全建立在开放的密码学标准、开源的密钥处理核心与公开的链上合约之上，这些你都可以独立验证。
真正开放且可验证的是什么
- iOS 应用的密钥处理核心与两个应用共用的 JavaScript 签名包——助记词生成、Ownbit Vault v2 密钥存储、派生与签名——见 github.com/bitbill/ownbit-app-50，且每个签名包的 SHA-256 哈希均已公布。
- 治理资金的链上 MultiSig 合约——开源，你可以在区块浏览器上确认你地址处的合约与之相符。
- 二维码签名编码——公布于 bb_sign_encoding.txt，你可以把任何签名二维码解码为明文。
- 标准符合性——导入一个标准种子，确认 Ownbit 推导出相同的地址（BIP32/39/44）。
常见问题
Ownbit 做过安全审计吗？
没有付费商业审计，也不计划做。取而代之的是：多年成熟的生产环境运行、由 GPT-6-Astra 与 Opus 5 对 MultiSig 合约进行的 AI 辅助安全审查（报告已在信任中心公开），以及你可以自行审查的开源代码。
Ownbit 是开源的吗？
自 5.0 起，iOS 应用的密钥处理代码——助记词生成、密钥存储、密钥派生与签名——以及两个应用共用的 JavaScript 签名包均以 MIT 许可证开源于 github.com/bitbill/ownbit-app-50；Android 核心将随后开源。链上 MultiSig 合约也是公开的。用户界面与服务器通信代码仍保持闭源。
为什么不直接做一次 CertiK 或 SlowMist 审计？
比起一张付费证书，我们宁愿把预算与精力投入到你能自行验证的架构上。我们不主张任何第三方审计。