Edge 리뷰

Edge는 시드 문구를 관리하지 않으려는 사람을 위한 오픈 소스 선택지이며, 신뢰하기 전에 읽어 볼 만한 것은 이 회사가 단 한 번 실패했던 일을 어떻게 처리했는지입니다. 2023년 2월에 로깅 버그가 암호화되지 않은 개인 키를 휴대폰 디스크에 기록했고, Edge는 아직도 게시되어 있는 전체 경위를 공개했습니다. 취약점, 2019년과 2022년에 이를 도입한 커밋, 대응 과정을 시간 단위로 정리한 타임라인, 그리고 영향을 받지 않은 대상까지 담았습니다.

이 버그는 두 가지 별개의 일이 일어나야 발생했습니다. 사용자가 앱 안에서 실행되는 구매 또는 판매 파트너(Bity, Wyre, Bitrefill, Ionia, Xanpool, LibertyX, Bitaccess, Bits of Gold, 또는 계좌 이체를 통한 Banxa) 중 하나를 열어야 했는데, 이때 선택된 지갑이 개인 키를 포함한 채 기기에 기록되었습니다. 이어서 같은 사용자가 얼마 지나지 않아 앱의 Upload Logs 기능을 사용해야 했고, 이 기능이 그 로그를 Edge의 서버로 전송했습니다. Edge는 로그 서버를 검사한 결과 약 600개의 개인 키가 서버에 도달한 것을 확인했으며, 이를 플랫폼에서 지금까지 생성된 키의 0.02% 미만으로 보았고, 달러 기준 다섯 자리 수의 낮은 금액에 해당하는 자금이 사라졌다는 사용자들의 연락을 받았습니다. 수정 사항은 첫 신고 후 약 9시간 만에 버전 3.3.1로 배포되었고 디스크에서 이전 로그를 삭제합니다. 카드, Apple Pay, Google Pay 구매는 영향을 받은 경로를 거치지 않았습니다.

지갑의 작동 방식은 이 목록의 대부분과 실제로 다릅니다. 사용자 이름과 비밀번호로 로그인한 다음 PIN 또는 생체 인식으로 잠금을 해제하며, 여러 기기에서 동시에 로그인할 수 있습니다. 키는 무언가를 전송하기 전에 기기에서 암호화되므로 Edge가 보관하는 것은 읽을 수 없는 데이터 덩어리입니다. 수탁이 아니라 영지식 백업입니다. 그 때문에 비밀번호가 자금을 보호하는 것이 되며, 이것이 이 설계의 실제 비용입니다. 재사용되고 추측 가능한 비밀번호는 어디에나 있고, 종이에 적은 시드 문구는 적어도 가짜 웹사이트에 입력될 수는 없기 때문입니다.

소스는 github.com/EdgeApp에서 공개되어 있고, Edge는 동일한 키 관리를 API와 SDK로 다른 개발자에게 라이선스하므로 제3자도 실제로 이를 읽습니다. 지갑 주변에는 긴 파트너 목록이 있습니다. 구매와 판매에는 Banxa, MoonPay, Paybis, Simplex, Bits of Gold, LibertyX, Bity, 스왑에는 ChangeNOW, SideShift, LetsExchange, Exolix, Godex, Swapuz, Maya, 기프트카드와 휴대폰 충전에는 Bitrefill이 있습니다. 비트코인은 Ethereum, Litecoin, Monero, XRP, Dogecoin, Dash 등과 함께 지원되며, Android 사용자는 Google Play를 거치지 않고 서명된 APK를 직접 설치할 수 있습니다.