Cardano などに対応するウォレット GeroWallet は11月4日の早朝（日本時間）、ブラウザ拡張の全コードを GitHub で公開し、ライセンスを Apache 2.0 にしたと X で発表しました。Chrome ウェブストアで配っているものと同じコードだとしています。
ウォレットは秘密鍵を扱い、利用者の資産を動かす取引に署名するソフトです。その中身を、誰でも読んで確かめ、問題があれば指摘できる状態になりました。公開されたものと、オープンソースになって変わること、まだ残る確認点を整理します。
公開されたリポジトリの中身
公開先は GitHub の Gero-Labs/gerowallet です。README によると、GeroWallet は Chrome の拡張機能の新しい規格（Manifest V3）で作られた、利用者が自分で鍵を持つ（非カストディアルの）ウォレットで、Cardano・Bitcoin・Midnight・Apex Fusion に対応します。画面は、すべての機能を持つダッシュボードと、ブラウザの横に開く小さな「Mini-Gero」の2つで、同じウォレットの中核を共有しています。
機能の一覧には、ステーキングと CIP-1694 のガバナンス（DRep への委任と投票）、複数の DEX をまたぐスワップ、Strike Finance の永久先物とボールトの表示、Ledger・Trezor・Keystone のハードウェアウォレット、Midnight のシールドされた送金と NIGHT・DUST の管理が並びます。主な言語は TypeScript で、画面は Vue 3.5 で組まれています。
GitHub のリリースの最新は v2.7.2 です。開発中のコードの版は 2.8.0 ですが、README は「この版の数字は、公開済みのリリースであることを意味しない」と断っています。リポジトリには11月4日未明（日本時間）にも、Midnight の DUST の手数料の証明を端末で行う変更などがマージされており、開発がそのまま公開の場で進んでいます。
オープンソースになって変わること
まず、署名の仕組みを外から読めるようになりました。README は、ソフトウェアの鍵での署名を拡張機能の中の worker（裏で動く処理）に集めていると説明していて、その境界は設計の文書 ARCHITECTURE.md で確かめられます。鍵の扱いを「信じてください」ではなく、コードで示す形になったことが今回の発表の中心です。
脆弱性を見つけたときの窓口もはっきりしました。README は、公開の issue を使わず、GitHub の非公開の報告機能で知らせるよう求めていて、範囲や善意の報告者を守る条件は SECURITY.md に書かれています。
Apache 2.0 は、コードの利用・改変・再配布を認め、貢献者からの特許の使用許諾も含むライセンスです。著作権・ライセンス・帰属の表示を残すことが条件で、README には著作権者として A.D. Labs の名前があります。
「同じコード」を確かめるときに残る点
一方で、読めるようになったことと、手元の拡張機能がそのコードから作られたと確かめられることは別の話です。README を見た範囲では、Chrome ウェブストアで配られている拡張機能と、公開されたコードから自分で作ったものを照らし合わせる手順（再現可能なビルド）は書かれていません。今のところ「同じコード」という点は、GeroWallet の発表として受け取ることになります。
また、Cardano のデータや DeFi の経路は主に Gero のサーバー側の仕組み（Nexus）を通ると README は説明しています。拡張機能のコードが公開されても、データを返すサーバー側はこのリポジトリの外にあります。どこまでが手元で動き、どこからがサーバーに頼るのかは、ARCHITECTURE.md で確かめられます。
次に確かめる点
次の節目は、開発中の 2.8.0 が GitHub のリリースとして出るときです。リリースの記録とコードの変更が同じ場所に並ぶので、何が変わったかを一次の記録で追えるようになります。前回の版の 2.7.2 の変更点は、10月24日の Signal で解説しました。
GeroWallet を使っている方は、自分の使う機能（ステーキング・ガバナンス・Midnight）にかかわる部分を、Gero-Labs/gerowallet のリリースのページと issue で一度見ておくと、変更に気づきやすくなります。
ことば
- Apache 2.0 — 利用・改変・再配布を広く認めるオープンソースのライセンス。貢献者からの特許の使用許諾も含むので、ほかのサービスがコードを組み込むときの条件がはっきりします。
- Manifest V3 — Chrome の拡張機能の現在の規格。裏で動く処理は service worker という形で動き、署名をどこで行うかといった設計にもかかわります。
- 再現可能なビルド — 公開されたコードから誰が作っても、配布物とまったく同じものができるようにすること。オープンソースのウォレットで「配布物がそのコードから作られた」と第三者が確かめるための方法です。
一次ソース / 関連リンク
- GeroWallet 公式 X の発表（オープンソース化）
https://x.com/GeroWallet/status/2117736918792229133
GeroWallet の GitHub リポジトリ（Gero-Labs/gerowallet）（GitHub）
GeroWallet のリリース一覧（GitHub）（GitHub）
