Table of Contents
اجتازت Gem Wallet مراجعة أمنية معمقة أجرتها Cure53 دون العثور على أي مشكلات حرجة أو عالية الخطورة في نواة Rust للمحفظة ولا في تطبيقيها على iOS و Android، وجرى إصلاح كل ملاحظة متوسطة الخطورة أو التخفيف منها. ويحمل التقرير النهائي تاريخ 21 أكتوبر 2026. وبالنسبة لمستخدمينا، هذا سبب إضافي لتخزين العملات الرقمية وإرسالها وتنفيذ swap لها في Gem Wallet براحة بال.
ما هي Cure53؟
Cure53 شركة مقرها برلين، متخصصة في تدقيق أمان التطبيقات منذ 2007. ويضم فريقها 30 خبيرًا مستقلًا، ونشرت الشركة على موقعها أكثر من 130 تقرير تدقيق.
ولا تقتصر شهرة Cure53 على التدقيق: فقد أنشأ فريقها DOMPurify، وهي أداة مفتوحة المصدر تحمي تطبيقات الويب من هجمات XSS. ومن المشاريع التي دققتها 1Password و Mullvad VPN و Proton Pass و Threema.
ما الذي راجعته Cure53 في Gem Wallet
في سبتمبر 2026، أمضى فريق من أربعة مختبرين كبار في Cure53 مدة 13 يومًا في اختبار اختراق وتدقيق للكود المصدري لإصدار Gem Wallet 2.114.40. واتبع التدقيق نهج white-box: إذ كان لدى Cure53 وصول كامل إلى الكود المصدري، فراجعته واختبرت نسخ الإصدار النهائية لتطبيقي iOS و Android. ولم يشمل هذا التدقيق الواجهة الخلفية.
وركّز التدقيق على نواة Rust التي تحمي مفاتيحك في كلا التطبيقين:
- مخزن المفاتيح المشفّر: كيف تشفّر المحفظة الأسرار وتخزنها وتحذفها، وكيف تنتقل هذه الأسرار بين نواة Rust والتطبيقات.
- المفاتيح والتوقيع: استيراد العبارة السرية، واشتقاق الحسابات، وتوقيع المعاملات.
- حماية كلمة المرور: كيف يخزّن تطبيقا iOS و Android كلمة مرور المحفظة ويستخدمانها.
نتائج تدقيق Gem Wallet
لم تجد Cure53 أي مشكلات حرجة أو عالية الخطورة. ومن أصل 21 ملاحظة، جرى بالفعل إصلاح 17 منها أو التخفيف منها، بما فيها كل الملاحظات المتوسطة الخطورة، وأكدت Cure53 كل إصلاح في مراجعة لاحقة:
- حرجة - 0
- عالية الخطورة - 0
- متوسطة الخطورة - 6 (جرى إصلاحها جميعًا أو التخفيف منها)
- منخفضة الخطورة - 10 (جرى إصلاح 8)
- معلوماتية - 5 (جرى إصلاح 3)
تعلقت الملاحظات المتوسطة الخطورة بالتفويض على الجهاز نفسه: فعلى سبيل المثال، لم يكن قفل التطبيق مفعّلًا افتراضيًا، وكان من الممكن تجاوز التحقق من رمز الدخول على هاتف Android بصلاحيات root. وتطلّب استغلال كل منها هاتفًا غير مقفل أو بصلاحيات root في يد المهاجم، أو تطبيقًا خبيثًا ثبّته المستخدم بنفسه. أما البنود الأربعة المفتوحة فهي اقتراحات تحصين منخفضة الخطورة أو معلوماتية.
كيف تحمي Gem Wallet مفاتيحك
تتبّعت Cure53 أسرار المحفظة من البداية إلى النهاية - الاستيراد، والتخزين المشفّر، واشتقاق الحسابات، والتوقيع، والتصدير، والحذف - وأكدت متانة الأسس:
- نواة Rust واحدة لكلا التطبيقين: يتشارك تطبيقا iOS (Swift) و Android (Kotlin) نواة Rust نفسها. وفي التوقيع اليومي تبقى المفاتيح الخاصة بعد فك تشفيرها داخل Rust، ولا تتلقى التطبيقات سوى المعاملة الموقّعة.
- تشفير قوي أثناء التخزين: يجري تشفير كل سر بخوارزمية AES-256-GCM بمفتاح مشتق عبر Argon2id، كما تجري مصادقة ترويسة الملف أيضًا. ووجدت Cure53 أن معلمات Argon2id تتوافق مع التوصيات الحالية، ولم تجد أي إعادة استخدام لقيم nonce.
- تخزين محمي لكلمة المرور: تبقى كلمة مرور المحفظة محفوظة في iOS Keychain أو Android Keystore.
- عشوائية آمنة: تأتي العبارات السرية وقيم nonce و salt من مصدر عشوائي آمن.
- التحقق من العناوين على 56 شبكة: تعتمد اختبارات الاشتقاق على عناوين متوقعة ثابتة، وجاءت النتائج مطابقة في جميع الشبكات البالغ عددها 56 والتي تستخدم العبارة السرية.
ما الذي أصلحناه بعد التدقيق
تجعل معظم الإصلاحات قفل التطبيق أقوى. فالآن تقترح Gem Wallet تفعيله عند إنشاء محفظة أو استيرادها، ومع تفعيل قفل التطبيق يتطلب حذف المحفظة رمز الدخول أو القياسات الحيوية. وعلى Android، أصبحت كلمة مرور المحفظة محمية دائمًا بمفتاح من Android Keystore، ومع تفعيل قفل التطبيق يتطلب هذا المفتاح رمز PIN لجهازك أو القياسات الحيوية، ما يسد طرق التجاوز التي وجدتها Cure53 على الهواتف بصلاحيات root.
وعززنا أيضًا حماية التطبيقات نفسها. فعلى Android، تعود DApps الآن إلى Gem عبر رابط gemwallet.com موثّق لا يمكن لأي تطبيق آخر أن يدّعيه. وعلى iOS، تبقى عبارتك السرية ومفتاحك الخاص مخفيين عن لقطات الشاشة وتسجيلات الشاشة ومبدّل التطبيقات. وفي نواة Rust، يجري الآن محو العبارات السرية والمفاتيح المشتقة من الذاكرة فور استخدامها.
لماذا يهم هذا مستخدمينا
Gem Wallet هي محفظة مفتوحة المصدر بنسبة 100% وذاتية الحفظ: تبقى مفاتيحك الخاصة على جهازك فقط، ولا يملك أي أحد، بما في ذلك فريقنا، وصولًا إليها. والكود كله مفتوح على GitHub، لذا يمكن لأي شخص مراجعة الإصدار الذي خضع للتدقيق والإصلاحات التي تلته.
يكشف الكود مفتوح المصدر طريقة بناء المحفظة، ويؤكد التدقيق المستقل أمان المحفظة. ومعًا يمنحان مستخدمينا أهم ما يحتاجونه - الثقة بأن عملاتهم الرقمية تبقى تحت سيطرتهم وحدهم.
اطلع على تقرير Cure53 الكامل
📄 تقرير تدقيق Cure53 لـ Gem Wallet (PDF)
📄 ملخص تدقيق Cure53 لـ Gem Wallet (PDF)
يقف الآن تدقيقان مستقلان، من CertiK و Cure53، وراء Gem Wallet، وسنواصل دعوة خبراء مستقلين لمراجعة كودنا. حدّث Gem Wallet إلى أحدث إصدار لتحصل على كل إصلاحات ما بعد التدقيق - وأدر عملاتك الرقمية بأمان وخصوصية 24/7.
إخلاء مسؤولية: هذه المقالة لأغراض إعلامية وتعليمية فقط، ولا تُعد نصيحة مالية أو استثمارية. الأصول المشفرة شديدة التقلب، وقد تخسر كل الأموال التي تستثمرها. ابحث بنفسك واتخذ قراراتك على مسؤوليتك الخاصة.
