Table of Contents
Gem Wallet Cure53 এর একটি গভীর নিরাপত্তা পর্যালোচনায় উত্তীর্ণ হয়েছে: ওয়ালেটের Rust কোর এবং এর iOS ও Android অ্যাপে কোনো critical বা high-severity সমস্যা পাওয়া যায়নি, এবং প্রতিটি medium finding ঠিক করা বা প্রশমিত করা হয়েছে। চূড়ান্ত রিপোর্টের তারিখ 21 অক্টোবর, 2026। আমাদের ব্যবহারকারীদের জন্য এটি নিশ্চিন্তে Gem Wallet এ ক্রিপ্টো সংরক্ষণ, পাঠানো এবং swap করার আরও একটি কারণ।
Cure53 কি?
Cure53 বার্লিনভিত্তিক একটি কোম্পানি, যা 2007 সাল থেকে অ্যাপ্লিকেশনের নিরাপত্তা অডিটে বিশেষজ্ঞ। এর টিমে আছেন 30 জন স্বাধীন বিশেষজ্ঞ, এবং কোম্পানিটি তাদের ওয়েবসাইটে 130টিরও বেশি অডিট রিপোর্ট প্রকাশ করেছে।
Cure53 শুধু অডিটের জন্যই পরিচিত নয়: এর টিম DOMPurify তৈরি করেছে, যা একটি ওপেন-সোর্স টুল এবং ওয়েব অ্যাপ্লিকেশনকে XSS আক্রমণ থেকে রক্ষা করে। কোম্পানিটি যেসব প্রজেক্ট অডিট করেছে, তার মধ্যে আছে 1Password, Mullvad VPN, Proton Pass এবং Threema।
Gem Wallet এ Cure53 কি পর্যালোচনা করেছে
2026 সালের সেপ্টেম্বরে Cure53 এর চারজন সিনিয়র টেস্টারের একটি দল 13 দিন ধরে Gem Wallet সংস্করণ 2.114.40 এর পেনিট্রেশন টেস্ট এবং সোর্স কোড অডিট করেছে। অডিটটি white-box পদ্ধতিতে হয়েছে: Cure53 সোর্স কোডে পূর্ণ অ্যাক্সেস পেয়েছিল, কোড পর্যালোচনা করেছে এবং iOS ও Android এর রিলিজ বিল্ড পরীক্ষা করেছে। ব্যাকএন্ড এই অডিটের অংশ ছিল না।
অডিটের মূল ফোকাস ছিল Rust কোর, যা দুটি অ্যাপেই আপনার key সুরক্ষিত রাখে:
- এনক্রিপ্টেড Keystore: ওয়ালেট কিভাবে গোপন ডেটা এনক্রিপ্ট, সংরক্ষণ ও মুছে ফেলে, এবং Rust কোর ও অ্যাপগুলোর মধ্যে সেগুলো কিভাবে আদান-প্রদান হয়।
- Key এবং স্বাক্ষর: সিক্রেট ফ্রেজ ইমপোর্ট, অ্যাকাউন্ট ডেরিভেশন এবং লেনদেনে স্বাক্ষর।
- পাসওয়ার্ড সুরক্ষা: iOS ও Android অ্যাপ কিভাবে ওয়ালেটের পাসওয়ার্ড সংরক্ষণ ও ব্যবহার করে।
Gem Wallet অডিট ফলাফল
Cure53 কোনো critical বা high-severity সমস্যা পায়নি। 21টি finding এর মধ্যে 17টি ইতিমধ্যে ঠিক করা বা প্রশমিত করা হয়েছে, যার মধ্যে আছে প্রতিটি medium finding, এবং Cure53 একটি ফলো-আপ পর্যালোচনায় প্রতিটি সমাধান নিশ্চিত করেছে:
- Critical - 0
- High - 0
- Medium - 6 (সবগুলো ঠিক করা বা প্রশমিত করা হয়েছে)
- Low - 10 (8টি ঠিক করা হয়েছে)
- Informational - 5 (3টি ঠিক করা হয়েছে)
Medium finding গুলো ছিল ডিভাইসের নিজস্ব অথরাইজেশন নিয়ে: যেমন, অ্যাপ লক ডিফল্টভাবে চালু ছিল না, আর রুট করা Android ফোনে পাসকোড যাচাই এড়িয়ে যাওয়া সম্ভব ছিল। এগুলোর প্রতিটির জন্য দরকার ছিল আক্রমণকারীর হাতে একটি আনলক করা বা রুট করা ফোন, অথবা ব্যবহারকারীর নিজের ইনস্টল করা একটি ক্ষতিকর অ্যাপ। খোলা থাকা চারটি বিষয় হলো low-severity বা informational hardening পরামর্শ।
Gem Wallet কিভাবে আপনার key সুরক্ষিত রাখে
Cure53 ওয়ালেটের গোপন ডেটা শুরু থেকে শেষ পর্যন্ত অনুসরণ করেছে - ইমপোর্ট, এনক্রিপ্টেড সংরক্ষণ, অ্যাকাউন্ট ডেরিভেশন, স্বাক্ষর, এক্সপোর্ট এবং মুছে ফেলা - এবং এর ভিত্তিগুলো নিশ্চিত করেছে:
- দুটি অ্যাপের জন্য একটি Rust কোর: iOS (Swift) এবং Android (Kotlin) অ্যাপ একই Rust কোর ব্যবহার করে। দৈনন্দিন স্বাক্ষরের সময় ডিক্রিপ্ট করা private key Rust এর ভেতরেই থাকে; অ্যাপগুলো শুধু স্বাক্ষরিত লেনদেন পায়।
- সংরক্ষিত ডেটার শক্তিশালী এনক্রিপশন: প্রতিটি গোপন তথ্য Argon2id দিয়ে তৈরি একটি key ব্যবহার করে AES-256-GCM দিয়ে এনক্রিপ্ট করা হয়, এবং ফাইলের হেডারও প্রমাণীকৃত হয়। Cure53 দেখেছে যে Argon2id এর প্যারামিটার বর্তমান সুপারিশের সঙ্গে সামঞ্জস্যপূর্ণ এবং কোথাও nonce পুনর্ব্যবহার হয়নি।
- সুরক্ষিত পাসওয়ার্ড সংরক্ষণ: ওয়ালেটের পাসওয়ার্ড iOS Keychain বা Android Keystore এ রাখা হয়।
- নিরাপদ র্যান্ডমনেস: সিক্রেট ফ্রেজ, nonce এবং salt আসে একটি নিরাপদ র্যান্ডম উৎস থেকে।
- 56টি নেটওয়ার্কে ঠিকানা যাচাই: ডেরিভেশন টেস্টে নির্দিষ্ট প্রত্যাশিত ঠিকানা ব্যবহার করা হয়, এবং সিক্রেট ফ্রেজ ব্যবহার করে এমন সব 56টি নেটওয়ার্কেই ঠিকানা মিলে গেছে।
অডিটের পর আমরা কি ঠিক করেছি
বেশিরভাগ সমাধান অ্যাপ লককে আরও শক্তিশালী করে। Gem Wallet এখন ওয়ালেট তৈরি বা ইমপোর্ট করার সময় এটি চালু করার প্রস্তাব দেয়, আর অ্যাপ লক চালু থাকলে ওয়ালেট মুছতে আপনার পাসকোড বা বায়োমেট্রিক্স লাগে। Android এ ওয়ালেটের পাসওয়ার্ড এখন সবসময় একটি Android Keystore key দিয়ে সুরক্ষিত, আর অ্যাপ লক চালু থাকলে সেই key এর জন্য আপনার ডিভাইসের PIN বা বায়োমেট্রিক্স লাগে - এতে রুট করা ফোনে Cure53 যে বাইপাসগুলো খুঁজে পেয়েছিল, সেগুলো বন্ধ হয়ে যায়।
আমরা অ্যাপগুলোকেও আরও সুরক্ষিত করেছি। Android এ dApps এখন একটি যাচাইকৃত gemwallet.com লিংকের মাধ্যমে Gem এ ফিরে আসে, যা অন্য কোনো অ্যাপ দাবি করতে পারে না। iOS এ আপনার সিক্রেট ফ্রেজ এবং private key স্ক্রিনশট, স্ক্রিন রেকর্ডিং এবং app switcher থেকে লুকানো থাকে। Rust কোরে সিক্রেট ফ্রেজ এবং ডেরিভেশনে তৈরি key এখন ব্যবহারের ঠিক পরেই মেমোরি থেকে মুছে ফেলা হয়।
কেন এটি আমাদের ব্যবহারকারীদের জন্য গুরুত্বপূর্ণ
Gem Wallet একটি 100% ওপেন-সোর্স সেলফ-কাস্টডি ওয়ালেট: আপনার private key শুধু আপনার ডিভাইসেই সংরক্ষিত থাকে, এবং আমাদের টিমসহ কারও সেগুলোতে অ্যাক্সেস নেই। সব কোড GitHub এ উন্মুক্ত, তাই যে কেউ অডিট করা সংস্করণ এবং পরবর্তী সমাধানগুলো পর্যালোচনা করতে পারেন।
ওপেন-সোর্স কোড দেখায় ওয়ালেটটি কিভাবে তৈরি, আর স্বাধীন অডিট ওয়ালেটের নিরাপত্তা নিশ্চিত করে। দুটি মিলে আমাদের ব্যবহারকারীদের দেয় সবচেয়ে গুরুত্বপূর্ণ জিনিস - এই আস্থা যে তাদের ক্রিপ্টো শুধু তাদের নিজেদের নিয়ন্ত্রণেই থাকে।
সম্পূর্ণ Cure53 রিপোর্ট পড়ুন
📄 Gem Wallet এর Cure53 অডিট রিপোর্ট (PDF)
📄 Gem Wallet এর Cure53 অডিট সারসংক্ষেপ (PDF)
এখন দুটি স্বাধীন অডিট, CertiK এবং Cure53, Gem Wallet এর পেছনে আছে, এবং আমরা আমাদের কোড পর্যালোচনার জন্য স্বাধীন বিশেষজ্ঞদের আমন্ত্রণ জানাতে থাকব। অডিট-পরবর্তী সব সমাধান পেতে Gem Wallet সর্বশেষ সংস্করণে আপডেট করুন - এবং 24/7 নিরাপদে ও প্রাইভেসির সাথে আপনার ক্রিপ্টো পরিচালনা করুন।
দায়মুক্তি: এই লেখাটি শুধু তথ্য ও শিক্ষার উদ্দেশ্যে, এটি আর্থিক বা বিনিয়োগ পরামর্শ নয়। ক্রিপ্টো অ্যাসেটের দাম খুব ওঠানামা করে, বিনিয়োগ করা সব টাকা হারাতে পারেন। নিজে যাচাই করুন এবং নিজের ঝুঁকিতে সিদ্ধান্ত নিন।
