Anahtar sizde.
Ödeme zincirde.
Kayıt defterde.

Dijital varlıkları güvence altına almak, yalnızca özel anahtarları saklamaktan mı ibaret? Yoksa asıl mesele, işlemlerin nasıl yetkilendirildiği, doğrulandığı ve kaydedildiği mi?

2025'in başında büyük bir kripto borsasının soğuk cüzdanından yaklaşık 1,5 milyar dolarlık varlık çalındı. Özel anahtarlar çalınmadı; donanım cüzdanlar yerindeydi. İmzacılar ekranda olağan görünen bir işlemi onayladı, ama imzaladıkları veri cüzdanın kontrolünü saldırgana devrediyordu. Her gün benzer şekilde, geçmişteki bir adrese benzeyen "zehirli" adreslere ya da sınırsız token onayı veren işlemlere imza atılarak varlık kaybediliyor.

Bu düşünce modPAY'in şekillenmesine katkı sağladı. modPAY üç ilke üzerine kurulu:

1. Anahtar sizde. Kurtarma ifadesi ve anahtarlar cihazdan çıkmaz; sunucu, yöneticiler dahil, onlara erişemez.
2. Ne gördüyseniz onu imzalarsınız. İmza Koruması imzalanan işlemi cihazda çözer; ağı, alıcıyı, tutarı, token'ı, ücreti ve imzacıyı ekrandakiyle tek tek karşılaştırır. Fark varsa işlem gönderilmez. Cüzdan yalnızca düz transfer imzalar; token onayı (approve), gizli kontrat çağrısı ya da yetki devri imzalamaz.
3. Zincirde doğrulanmadan kayıt yok. Ödeme ve iade, transfer zincirde onay derinliğine ulaşınca deftere işlenir.

Güvenli ama yorucu değil: doğrulanmış satıcıya, kendi hesaplarınıza ve daha önce gönderdiğiniz adreslere ek adım yok. Yeni bir alıcıda adresin son 4 karakterini, geçmişinizdeki bir adrese benzeyen (zehirli) adreste 8 karakterini yazmanız istenir. Adresler, karşılaştırması kolay 4'lü gruplar halinde gösterilir.