Edgeのレビュー

Edgeは、シードフレーズを管理しようとしない人にとってのオープンソースの選択肢です。そして、信頼する前に読む価値があるのは、唯一の失敗に企業がどう対応したかという点です。2023年2月に、ログ記録のバグが暗号化されていない秘密鍵をスマートフォンのディスクに書き出しました。Edgeはその完全な説明を公開しており、今も読めます。脆弱性、2019年と2022年にそれを導入したコミット、対応の1時間ごとの時系列、そして影響を受けなかったのは誰か、という内容です。

このバグが発生するには、2つの別々の出来事が必要でした。ユーザーがアプリ内で動作する購入または売却パートナー（Bity、Wyre、Bitrefill、Ionia、Xanpool、LibertyX、Bitaccess、Bits of Gold、または銀行振込によるBanxa）のいずれかを開くことで、選択したウォレットが秘密鍵を含めて端末に記録されました。その後、同じユーザーがまもなくアプリのUpload Logs機能を使うことで、そのログがEdgeのサーバーに送信されました。Edgeはログサーバーを走査し、およそ600個の秘密鍵が届いていたことを確認しました。これはプラットフォーム上でこれまでに作成された鍵の0.02%未満にあたるとしています。また、5桁の低い金額のドル相当の資金を失ったユーザーから連絡を受けました。修正は最初の報告から約9時間後にバージョン3.3.1で提供され、以前のログをディスクから削除します。カード、Apple Pay、Google Payでの購入は影響を受けた経路を一切通りませんでした。

このウォレットの仕組みは、このリストの大半とは本当に異なります。ユーザー名とパスワードでログインし、その後PINまたは生体認証でロックを解除します。複数の端末で同時にログインした状態にできます。鍵は何かが送信される前に端末上で暗号化されるため、Edgeが保存するのは読めないブロブです。カストディではなく、ゼロ知識のバックアップです。そのため、お金を守るのはパスワードになります。これがこの設計の実際のコストです。使い回された推測されやすいパスワードはどこにでもあり、書き留めたシードフレーズは少なくとも偽のウェブサイトに入力することはできません。

ソースコードはgithub.com/EdgeAppで公開されており、Edgeは同じ鍵管理をAPIおよびSDKとして他の開発者にライセンスしています。そのため第三者が実際に読んでいます。ウォレットの周囲には長いパートナーのリストがあります。購入と売却にはBanxa、MoonPay、Paybis、Simplex、Bits of Gold、LibertyX、Bity、スワップにはChangeNOW、SideShift、LetsExchange、Exolix、Godex、Swapuz、Maya、ギフトカードとモバイルのチャージにはBitrefillです。ビットコインはEthereum、Litecoin、Monero、XRP、Dogecoin、Dashなどに対応しており、AndroidユーザーはGoogle Playを経由せずに署名済みAPKを直接インストールできます。