Recensione di Edge

Edge è la scelta open source per chi non vuole gestire una frase di recupero, e la cosa da leggere prima di fidarti è come l'azienda ha gestito l'unica volta in cui ha fallito. A febbraio 2023 un bug di logging ha scritto chiavi private non cifrate sul disco dello smartphone, e Edge ha pubblicato un resoconto completo della vicenda, ancora online: la vulnerabilità, i commit che l'hanno introdotta nel 2019 e nel 2022, una cronologia ora per ora della risposta e chi non è stato colpito.

Il bug richiedeva che accadessero due cose distinte. Un utente doveva aprire uno dei partner di acquisto o vendita che funzionavano dentro l'app (Bity, Wyre, Bitrefill, Ionia, Xanpool, LibertyX, Bitaccess, Bits of Gold o Banxa tramite bonifico bancario), che registrava sul dispositivo il wallet selezionato, chiave privata inclusa. Lo stesso utente doveva poi usare poco dopo la funzione Upload Logs dell'app, che inviava quel log ai server di Edge. Edge ha scansionato il proprio server dei log e ha trovato che vi erano arrivate circa 600 chiavi private, una cifra che ha stimato inferiore allo 0,02 per cento delle chiavi mai create sulla piattaforma, e ha ricevuto segnalazioni da utenti a cui mancavano fondi per una somma a cinque cifre basse in dollari. La correzione è stata rilasciata nella versione 3.3.1 circa nove ore dopo la prima segnalazione e cancella dal disco i log precedenti. Gli acquisti con carta, Apple Pay e Google Pay non hanno mai toccato il percorso interessato.

Il funzionamento del wallet è davvero diverso dalla maggior parte di questa lista. Accedi con un nome utente e una password, poi sblocchi con un PIN o la biometria, e puoi essere connesso su più dispositivi contemporaneamente. Le tue chiavi vengono cifrate sul tuo dispositivo prima che qualsiasi cosa venga inviata, quindi ciò che Edge conserva è un blocco di dati che non può leggere: un backup a conoscenza zero, non una custodia. Questo rende la password ciò che protegge il tuo denaro, che è il vero costo del progetto, perché le password riutilizzate e facilmente indovinabili sono ovunque e una frase di recupero scritta almeno non può essere digitata su un sito web falso.

Il codice è pubblico su github.com/EdgeApp, e Edge concede in licenza la stessa gestione delle chiavi ad altri sviluppatori come API e SDK, quindi soggetti terzi la leggono davvero. Attorno al wallet c'è una lunga lista di partner: Banxa, MoonPay, Paybis, Simplex, Bits of Gold, LibertyX e Bity per comprare e vendere, ChangeNOW, SideShift, LetsExchange, Exolix, Godex, Swapuz e Maya per gli scambi, e Bitrefill per carte regalo e ricariche telefoniche. Bitcoin è disponibile insieme a Ethereum, Litecoin, Monero, XRP, Dogecoin, Dash e altri, e gli utenti Android possono installare direttamente un APK firmato invece di passare da Google Play.