Gem Wallet تجتاز التدقيق الأمني من Cure53

اجتازت Gem Wallet تدقيقًا أمنيًا معمقًا من Cure53 دون العثور على أي مشكلات حرجة أو عالية الخطورة في نواة Rust للمحفظة ولا في تطبيقيها على iOS و Android، وجرى إصلاح كل ملاحظة متوسطة الخطورة أو التخفيف منها. ويحمل التقرير النهائي تاريخ 21 أكتوبر 2026. وبالنسبة لمستخدمينا، هذا سبب إضافي لتخزين العملات الرقمية وإرسالها وتنفيذ swap لها في Gem Wallet براحة بال.

ما هي Cure53؟

Cure53 شركة للأمن السيبراني مقرها برلين، تجري اختبارات الاختراق وتدقق الكود والبنية التحتية والتشفير منذ 2007. أسسها Mario Heiderich، الذي نال الدكتوراه في الهندسة في مجال أمن الويب، ويضم فريقها 30 باحثًا مستقلًا في الأمن، بينهم حاملو درجات الدكتوراه في الهندسة والتشفير التطبيقي والفيزياء. ونشرت Cure53 على موقعها أكثر من 130 تقرير تدقيق.

ويمتد أثر عمل Cure53 إلى ما هو أبعد بكثير من عملائها: فقد أنشأ فريقها DOMPurify، وهي مكتبة مفتوحة المصدر تحمي تطبيقات الويب من هجمات XSS، ويحمّلها المطورون عشرات الملايين من المرات كل أسبوع. وتثق بتقاريرها الفرق التي تقف وراء 1Password و Mullvad VPN و Proton Pass و Threema و Bitwarden - وهي منتجات يقوم وعدها للمستخدمين بأكمله على الخصوصية والأمان.

ما الذي راجعته Cure53 في Gem Wallet

خضعت Gem Wallet للتدقيق على يد أربعة مدققين كبار من Cure53: مؤسس Cure53 الدكتور المهندس Mario Heiderich والدكتور Alexander Pirker والدكتور Nadim Kobeissi و C. Mayr (ماجستير). وطلبت Gem Wallet إجراء التدقيق في يوليو 2026، وفي سبتمبر 2026 أمضى المدققون 13 يومًا في اختبار اختراق وتدقيق للكود المصدري لإصدار Gem Wallet 2.114.40. واتبع التدقيق نهج white-box: إذ كان لدى Cure53 وصول كامل إلى الكود المصدري، فراجعته واختبرت نسخ الإصدار النهائية لتطبيقي iOS و Android. ولم يشمل هذا التدقيق الواجهة الخلفية.

وركّز التدقيق على نواة Rust التي تحمي مفاتيحك في كلا التطبيقين:

• مخزن المفاتيح المشفّر (v4 Keystore and UniFFI Secret Boundary): كيف تشفّر المحفظة الأسرار وتخزنها وتحذفها، وكيف تنتقل هذه الأسرار بين نواة Rust والتطبيقات.
• المفاتيح والتوقيع (Derivation, Import and Signing Primitives): استيراد العبارة السرية، واشتقاق الحسابات، وتوقيع المعاملات.
• حماية كلمة المرور (iOS/Android Password Custody): كيف يخزّن تطبيقا iOS و Android كلمة مرور المحفظة ويستخدمانها.

نتائج تدقيق Gem Wallet

لم تجد Cure53 أي مشكلات حرجة أو عالية الخطورة. ومن أصل 21 ملاحظة، جرى بالفعل إصلاح 17 منها أو التخفيف منها، بما فيها كل الملاحظات المتوسطة الخطورة، وأكدت Cure53 كل إصلاح في مراجعة لاحقة:

• حرجة - 0
• عالية الخطورة - 0
• متوسطة الخطورة - 6 (جرى إصلاحها جميعًا أو التخفيف منها)
• منخفضة الخطورة - 10 (جرى إصلاح 8)
• معلوماتية - 5 (جرى إصلاح 3)

تعلقت الملاحظات المتوسطة الخطورة بالتفويض على الجهاز نفسه: فعلى سبيل المثال، لم يكن قفل التطبيق مفعّلًا افتراضيًا، وكان من الممكن تجاوز التحقق من رمز الدخول على هاتف Android بصلاحيات root. وتطلّب استغلال كل منها هاتفًا غير مقفل أو بصلاحيات root في يد المهاجم، أو تطبيقًا خبيثًا ثبّته المستخدم بنفسه. أما البنود الأربعة المفتوحة فهي اقتراحات تحصين منخفضة الخطورة أو معلوماتية.

كيف تحمي Gem Wallet مفاتيحك

تتبّعت Cure53 أسرار المحفظة من البداية إلى النهاية - الاستيراد، والتخزين المشفّر، واشتقاق الحسابات، والتوقيع، والتصدير، والحذف - وأكدت متانة الأسس:

• نواة Rust واحدة لكلا التطبيقين: يتشارك تطبيقا iOS (Swift) و Android (Kotlin) نواة Rust نفسها. وفي التوقيع اليومي تبقى المفاتيح الخاصة بعد فك تشفيرها داخل Rust، ولا تتلقى التطبيقات سوى المعاملة الموقّعة.
• تشفير قوي أثناء التخزين: يجري تشفير كل سر بخوارزمية AES-256-GCM بمفتاح مشتق عبر Argon2id، كما تجري مصادقة ترويسة الملف أيضًا. ووجدت Cure53 أن معلمات Argon2id تتوافق مع التوصيات الحالية، ولم تجد أي إعادة استخدام لقيم nonce.
• تخزين محمي لكلمة المرور: تبقى كلمة مرور المحفظة محفوظة في iOS Keychain أو Android Keystore.
• عشوائية آمنة: تأتي العبارات السرية وقيم nonce و salt من مصدر عشوائي آمن.
• التحقق من العناوين على 56 شبكة: تعتمد اختبارات الاشتقاق على عناوين متوقعة ثابتة، وجاءت النتائج مطابقة في جميع الشبكات البالغ عددها 56 والتي تستخدم العبارة السرية.

إصلاحات Gem Wallet بعد تدقيق Cure53

تجعل معظم الإصلاحات قفل التطبيق أقوى. فالآن تقترح Gem Wallet تفعيله عند إنشاء محفظة أو استيرادها، ومع تفعيل قفل التطبيق يتطلب حذف المحفظة رمز الدخول أو القياسات الحيوية. وعلى Android، أصبحت كلمة مرور المحفظة محمية دائمًا بمفتاح من Android Keystore، ومع تفعيل قفل التطبيق يتطلب هذا المفتاح رمز PIN لجهازك أو القياسات الحيوية، ما يسد طرق التجاوز التي وجدتها Cure53 على الهواتف بصلاحيات root.

وعززنا أيضًا حماية التطبيقات نفسها. فعلى Android، تعود DApps الآن إلى Gem عبر رابط gemwallet.com موثّق لا يمكن لأي تطبيق آخر أن يدّعيه. وعلى iOS، تبقى عبارتك السرية ومفتاحك الخاص مخفيين عن لقطات الشاشة وتسجيلات الشاشة ومبدّل التطبيقات. وفي نواة Rust، يجري الآن محو العبارات السرية والمفاتيح المشتقة من الذاكرة فور استخدامها. وتتوفر كل هذه الإصلاحات في إصدار Gem Wallet 2.114.73 والإصدارات الأحدث.

لماذا يهم هذا مستخدمينا

Gem Wallet هي محفظة مفتوحة المصدر بنسبة 100% وذاتية الحفظ: تبقى مفاتيحك الخاصة على جهازك فقط، ولا يملك أي أحد، بما في ذلك فريقنا، وصولًا إليها. والكود كله مفتوح على GitHub، لذا يمكن لأي شخص مراجعة الإصدار الذي خضع للتدقيق والإصلاحات التي تلته.

يكشف الكود مفتوح المصدر طريقة بناء المحفظة، ويؤكد التدقيق المستقل أمان المحفظة. ومعًا يمنحان مستخدمينا أهم ما يحتاجونه - الثقة بأن عملاتهم الرقمية تبقى تحت سيطرتهم وحدهم.

تقرير تدقيق Cure53 (PDF)

📄 تقرير تدقيق Cure53 لـ Gem Wallet (PDF)

📄 ملخص تدقيق Cure53 لـ Gem Wallet (PDF)

يقف الآن تدقيقان مستقلان وراء Gem Wallet - CertiK في أبريل 2026 و Cure53 في أكتوبر 2026 - وسنواصل دعوة مدققين مستقلين لمراجعة كودنا. حدّث Gem Wallet إلى أحدث إصدار لتحصل على كل إصلاحات ما بعد التدقيق - وأدر عملاتك الرقمية بأمان وخصوصية 24/7.

إخلاء مسؤولية: هذه المقالة لأغراض إعلامية وتعليمية فقط، ولا تُعد نصيحة مالية أو استثمارية. الأصول المشفرة شديدة التقلب، وقد تخسر كل الأموال التي تستثمرها. ابحث بنفسك واتخذ قراراتك على مسؤوليتك الخاصة.