Bewertung von Edge

Edge ist die Open-Source-Wahl für alle, die keine Seed-Phrase verwalten wollen, und was Sie lesen sollten, bevor Sie ihr vertrauen, ist der Umgang des Unternehmens mit dem einen Fall, in dem sie versagte. Im Februar 2023 schrieb ein Protokollierungsfehler unverschlüsselte private Schlüssel auf die Festplatte des Smartphones, und Edge veröffentlichte einen vollständigen Bericht darüber, der noch online ist: die Schwachstelle, die Commits, die sie 2019 und 2022 eingeführt haben, eine stündliche Zeitleiste der Reaktion und wer nicht betroffen war.

Der Fehler erforderte zwei getrennte Umstände. Ein Nutzer musste einen der Kauf- oder Verkaufspartner öffnen, die in der App liefen (Bity, Wyre, Bitrefill, Ionia, Xanpool, LibertyX, Bitaccess, Bits of Gold oder Banxa per Banküberweisung), wodurch die ausgewählte Wallet samt privatem Schlüssel auf dem Gerät protokolliert wurde. Derselbe Nutzer musste kurz darauf die Funktion Upload Logs der App verwenden, die dieses Protokoll an die Server von Edge sendete. Edge durchsuchte seinen Protokollserver und stellte fest, dass etwa 600 private Schlüssel dort eingegangen waren, was nach Angabe des Unternehmens weniger als 0,02 Prozent aller jemals auf der Plattform erstellten Schlüssel sind, und es meldeten sich Nutzer, denen Mittel in Höhe eines niedrigen fünfstelligen Dollarbetrags fehlten. Die Korrektur erschien in Version 3.3.1 etwa neun Stunden nach der ersten Meldung und löscht frühere Protokolle von der Festplatte. Käufe per Karte, Apple Pay und Google Pay berührten den betroffenen Pfad nie.

Die Funktionsweise der Wallet unterscheidet sich tatsächlich von den meisten Wallets in dieser Liste. Sie melden sich mit einem Benutzernamen und einem Passwort an, entsperren dann mit einer PIN oder Biometrie, und Sie können gleichzeitig auf mehreren Geräten angemeldet sein. Ihre Schlüssel werden auf Ihrem Gerät verschlüsselt, bevor etwas gesendet wird, sodass Edge nur einen Blob speichert, den es nicht lesen kann: ein Zero-Knowledge-Backup und keine Verwahrung. Damit ist das Passwort das, was Ihr Geld schützt, und das sind die eigentlichen Kosten dieses Designs, denn wiederverwendete und erratbare Passwörter gibt es überall, und eine aufgeschriebene Seed-Phrase kann man zumindest nicht in eine gefälschte Website eintippen.

Der Quellcode ist öffentlich unter github.com/EdgeApp, und Edge lizenziert dieselbe Schlüsselverwaltung an andere Entwickler als API und SDK, sodass Dritte ihn tatsächlich lesen. Rund um die Wallet steht eine lange Liste von Partnern: Banxa, MoonPay, Paybis, Simplex, Bits of Gold, LibertyX und Bity für Kauf und Verkauf, ChangeNOW, SideShift, LetsExchange, Exolix, Godex, Swapuz und Maya für Swaps sowie Bitrefill für Geschenkkarten und Handy-Guthaben. Bitcoin wird neben Ethereum, Litecoin, Monero, XRP, Dogecoin, Dash und weiteren unterstützt, und Android-Nutzer können eine signierte APK direkt installieren, statt den Weg über Google Play zu gehen.