Et par YakiHonne à l’instant
Un problème majeur identifié avec les paiements Nostr via Minibits concerne la gestion des zaps (pourboires Lightning) reçus. Le champ description de l'API Nostr Wallet Connect (NWC) ne transmet que le mémo du portefeuille ("Received zap"), perdant ainsi l'identité de l'expéditeur, la note zappée et l'URL de la note cible, ce qui rend le zap anonyme pour le client Nostr.
De plus, les factures générées par le serveur Minibits lors de la réception de zaps ne contiennent ni hash de description ni description, violant la spécification NIP-57. Cela empêche de vérifier que le paiement correspond bien au zap avant le règlement et rend impossible la récupération des données du zap une fois la transaction effectuée.
Les points techniques critiques incluent :
Perte de données : Les clients Nostr ne peuvent pas attribuer le zap à un utilisateur spécifique car les métadonnées ne sont pas transmises via NWC.
Absence de signature : L'invoce ne s'engage pas sur la demande de zap (kind-9734), ce qui rompt le lien cryptographique entre le paiement et la transaction sociale.
Tags manquants : Les reçus de zap publiés ne contiennent pas le tag P (pubkey de l'expéditeur), empêchant l'agrégation correcte des zaps reçus.
Bien que Minibits possède toutes ces données côté client (résolution NIP-05, avatar, URL de la note), l'implémentation actuelle de l'API NWC ne les expose pas, limitant l'expérience utilisateur sur les réseaux sociaux Nostr.
De plus, les factures générées par le serveur Minibits lors de la réception de zaps ne contiennent ni hash de description ni description, violant la spécification NIP-57. Cela empêche de vérifier que le paiement correspond bien au zap avant le règlement et rend impossible la récupération des données du zap une fois la transaction effectuée.
Les points techniques critiques incluent :
Perte de données : Les clients Nostr ne peuvent pas attribuer le zap à un utilisateur spécifique car les métadonnées ne sont pas transmises via NWC.
Absence de signature : L'invoce ne s'engage pas sur la demande de zap (kind-9734), ce qui rompt le lien cryptographique entre le paiement et la transaction sociale.
Tags manquants : Les reçus de zap publiés ne contiennent pas le tag P (pubkey de l'expéditeur), empêchant l'agrégation correcte des zaps reçus.
Bien que Minibits possède toutes ces données côté client (résolution NIP-05, avatar, URL de la note), l'implémentation actuelle de l'API NWC ne les expose pas, limitant l'expérience utilisateur sur les réseaux sociaux Nostr.