Обзор Edge

Edge представляет собой открытый вариант для тех, кто не хочет заниматься сид-фразой, а перед тем, как доверять кошельку, стоит прочитать о том, как компания повела себя в единственном случае, когда он дал сбой. В феврале 2023 года ошибка в протоколировании записала незашифрованные приватные ключи на диск смартфона, и Edge опубликовал полный отчет об этом, который до сих пор доступен: уязвимость, коммиты, внесшие ее в 2019 и 2022 годах, хронологию реакции по часам и сведения о том, кого это не затронуло.

Для ошибки требовались два отдельных условия. Пользователь должен был открыть одного из партнеров по покупке или продаже, работавших внутри приложения (Bity, Wyre, Bitrefill, Ionia, Xanpool, LibertyX, Bitaccess, Bits of Gold или Banxa через банковский перевод), и тогда выбранный кошелек, включая приватный ключ, записывался на устройство. Затем тот же пользователь должен был вскоре воспользоваться функцией Upload Logs в приложении, и этот журнал отправлялся на серверы Edge. Edge проверил свой сервер журналов и обнаружил, что до него дошли примерно 600 приватных ключей, что, по его оценке, составляет менее 0,02 процента от всех ключей, когда-либо созданных на платформе, и получил сообщения от пользователей, у которых пропали средства на сумму в нижней части пятизначного диапазона в долларах. Исправление вышло в версии 3.3.1 примерно через девять часов после первого сообщения и удаляет прежние журналы с диска. Покупки картой, через Apple Pay и Google Pay никогда не затрагивали затронутый путь.

Устройство кошелька действительно отличается от большинства в этом списке. Вы входите по имени пользователя и паролю, затем разблокируете по PIN или биометрии, и можно быть в системе одновременно на нескольких устройствах. Ключи шифруются на вашем устройстве до того, как что-либо отправляется, поэтому Edge хранит блок данных, который не может прочитать: резервную копию без знания содержимого, а не хранение. Так пароль становится тем, что защищает ваши деньги, и в этом реальная цена такой конструкции, потому что повторно используемые и угадываемые пароли встречаются повсюду, а записанную сид-фразу хотя бы нельзя ввести на поддельном сайте.

Исходный код открыт на github.com/EdgeApp, и Edge лицензирует то же управление ключами другим разработчикам как API и SDK, поэтому третьи стороны действительно его читают. Вокруг кошелька длинный список партнеров: Banxa, MoonPay, Paybis, Simplex, Bits of Gold, LibertyX и Bity для покупки и продажи, ChangeNOW, SideShift, LetsExchange, Exolix, Godex, Swapuz и Maya для обмена, а Bitrefill для подарочных карт и пополнения счета мобильного телефона. Биткоин поддерживается наряду с Ethereum, Litecoin, Monero, XRP, Dogecoin, Dash и другими, а пользователи Android могут установить подписанный APK напрямую, не обращаясь к Google Play.