Análise de Edge

A Edge é a opção de código aberto para quem não vai gerenciar uma frase de recuperação, e o que vale a pena ler antes de confiar nela é como a empresa lidou com a única vez em que falhou. Em fevereiro de 2023, um bug de registro gravou chaves privadas sem criptografia no disco do celular, e a Edge publicou um relato completo do caso que continua no ar: a vulnerabilidade, os commits que a introduziram em 2019 e 2022, uma cronologia hora a hora da resposta e quem não foi afetado.

O bug precisava de duas coisas separadas para acontecer. O usuário tinha de abrir um dos parceiros de compra ou venda que funcionavam dentro do aplicativo (Bity, Wyre, Bitrefill, Ionia, Xanpool, LibertyX, Bitaccess, Bits of Gold ou Banxa por transferência bancária), o que gravava no dispositivo a carteira selecionada, chave privada incluída. O mesmo usuário tinha então de usar a função Upload Logs do aplicativo logo depois, que enviava esse registro aos servidores da Edge. A Edge examinou seu servidor de registros e descobriu que aproximadamente 600 chaves privadas haviam chegado até ele, o que a empresa estimou em menos de 0,02% das chaves já criadas na plataforma, e recebeu relatos de usuários com fundos faltando, em uma soma baixa de cinco dígitos em dólares. A correção saiu na versão 3.3.1 cerca de nove horas após o primeiro relato e apaga os registros anteriores do disco. Compras com cartão, Apple Pay e Google Pay nunca passaram pelo caminho afetado.

O funcionamento da carteira é de fato diferente da maior parte desta lista. Você entra com um nome de usuário e uma senha, depois desbloqueia com um PIN ou biometria, e pode estar conectado em vários dispositivos ao mesmo tempo. Suas chaves são criptografadas no seu dispositivo antes de qualquer envio, então o que a Edge armazena é um bloco que ela não consegue ler: um backup de conhecimento zero, e não custódia. Isso faz da senha o que protege seu dinheiro, que é o custo real do projeto, porque senhas reutilizadas e fáceis de adivinhar estão por toda parte e uma frase de recuperação escrita ao menos não pode ser digitada em um site falso.

O código-fonte é público em github.com/EdgeApp, e a Edge licencia o mesmo gerenciamento de chaves a outros desenvolvedores como API e SDK, então terceiros de fato o leem. Em torno da carteira há uma longa lista de parceiros: Banxa, MoonPay, Paybis, Simplex, Bits of Gold, LibertyX e Bity para comprar e vender, ChangeNOW, SideShift, LetsExchange, Exolix, Godex, Swapuz e Maya para trocas, e Bitrefill para cartões-presente e recargas de celular. O bitcoin tem suporte ao lado de Ethereum, Litecoin, Monero, XRP, Dogecoin, Dash e outros, e usuários de Android podem instalar um APK assinado diretamente em vez de passar pelo Google Play.