Gem Wallet Cure53 নিরাপত্তা অডিট সম্পন্ন করেছে

Gem Wallet Cure53 এর একটি গভীর নিরাপত্তা অডিটে উত্তীর্ণ হয়েছে: ওয়ালেটের Rust কোর এবং এর iOS ও Android অ্যাপে কোনো critical বা high-severity সমস্যা পাওয়া যায়নি, এবং প্রতিটি medium finding ঠিক করা বা প্রশমিত করা হয়েছে। চূড়ান্ত রিপোর্টের তারিখ 21 অক্টোবর, 2026। আমাদের ব্যবহারকারীদের জন্য এটি নিশ্চিন্তে Gem Wallet এ ক্রিপ্টো সংরক্ষণ, পাঠানো এবং swap করার আরও একটি কারণ।

Cure53 কি?

Cure53 বার্লিনভিত্তিক একটি সাইবার নিরাপত্তা কোম্পানি, যা 2007 সাল থেকে পেনিট্রেশন টেস্ট পরিচালনা এবং কোড, অবকাঠামো ও ক্রিপ্টোগ্রাফি অডিট করে আসছে। কোম্পানিটি প্রতিষ্ঠা করেছেন Mario Heiderich, যিনি ওয়েব নিরাপত্তা বিষয়ে ইঞ্জিনিয়ারিংয়ে ডক্টরেট অর্জন করেছেন, এবং এর 30 জন স্বাধীন নিরাপত্তা গবেষকের মধ্যে আছেন ইঞ্জিনিয়ারিং, ফলিত ক্রিপ্টোগ্রাফি ও পদার্থবিজ্ঞানে ডক্টরেটধারীরা। Cure53 তাদের ওয়েবসাইটে 130টিরও বেশি অডিট রিপোর্ট প্রকাশ করেছে।

Cure53 এর কাজ শুধু তাদের ক্লায়েন্টদের নয়, তার চেয়ে অনেক বেশি মানুষকে সুরক্ষা দেয়: এর টিম DOMPurify তৈরি করেছে, যা একটি ওপেন-সোর্স লাইব্রেরি, ওয়েব অ্যাপকে XSS আক্রমণ থেকে রক্ষা করে এবং ডেভেলপাররা প্রতি সপ্তাহে কয়েক কোটি বার ডাউনলোড করেন। 1Password, Mullvad VPN, Proton Pass, Threema এবং Bitwarden এর পেছনের টিমগুলো এর রিপোর্টের ওপর আস্থা রাখে - এগুলো এমন প্রোডাক্ট, ব্যবহারকারীদের কাছে যাদের পুরো প্রতিশ্রুতিই হলো গোপনীয়তা ও নিরাপত্তা।

Gem Wallet এ Cure53 কি পর্যালোচনা করেছে

Gem Wallet এর অডিট করেছেন Cure53 এর চারজন সিনিয়র অডিটর: Cure53 এর প্রতিষ্ঠাতা ড. Mario Heiderich, ড. Alexander Pirker, ড. Nadim Kobeissi ও C. Mayr (এমএসসি)। Gem Wallet 2026 সালের জুলাইয়ে এই অডিটটি কমিশন করেছিল, এবং 2026 সালের সেপ্টেম্বরে অডিটররা 13 দিন ধরে Gem Wallet সংস্করণ 2.114.40 এর পেনিট্রেশন টেস্ট এবং সোর্স কোড অডিট করেছেন। অডিটটি white-box পদ্ধতিতে হয়েছে: Cure53 সোর্স কোডে পূর্ণ অ্যাক্সেস পেয়েছিল, কোড পর্যালোচনা করেছে এবং iOS ও Android এর রিলিজ বিল্ড পরীক্ষা করেছে। ব্যাকএন্ড এই অডিটের অংশ ছিল না।

অডিটের মূল ফোকাস ছিল Rust কোর, যা দুটি অ্যাপেই আপনার key সুরক্ষিত রাখে:

• এনক্রিপ্টেড Keystore (v4 Keystore and UniFFI Secret Boundary): ওয়ালেট কিভাবে গোপন ডেটা এনক্রিপ্ট, সংরক্ষণ ও মুছে ফেলে, এবং Rust কোর ও অ্যাপগুলোর মধ্যে সেগুলো কিভাবে আদান-প্রদান হয়।
• Key এবং স্বাক্ষর (Derivation, Import and Signing Primitives): সিক্রেট ফ্রেজ ইমপোর্ট, অ্যাকাউন্ট ডেরিভেশন এবং লেনদেনে স্বাক্ষর।
• পাসওয়ার্ড সুরক্ষা (iOS/Android Password Custody): iOS ও Android অ্যাপ কিভাবে ওয়ালেটের পাসওয়ার্ড সংরক্ষণ ও ব্যবহার করে।

Gem Wallet অডিট ফলাফল

Cure53 কোনো critical বা high-severity সমস্যা পায়নি। 21টি finding এর মধ্যে 17টি ইতিমধ্যে ঠিক করা বা প্রশমিত করা হয়েছে, যার মধ্যে আছে প্রতিটি medium finding, এবং Cure53 একটি ফলো-আপ পর্যালোচনায় প্রতিটি সমাধান নিশ্চিত করেছে:

• Critical - 0
• High - 0
• Medium - 6 (সবগুলো ঠিক করা বা প্রশমিত করা হয়েছে)
• Low - 10 (8টি ঠিক করা হয়েছে)
• Informational - 5 (3টি ঠিক করা হয়েছে)

Medium finding গুলো ছিল ডিভাইসের নিজস্ব অথরাইজেশন নিয়ে: যেমন, অ্যাপ লক ডিফল্টভাবে চালু ছিল না, আর রুট করা Android ফোনে পাসকোড যাচাই এড়িয়ে যাওয়া সম্ভব ছিল। এগুলোর প্রতিটির জন্য দরকার ছিল আক্রমণকারীর হাতে একটি আনলক করা বা রুট করা ফোন, অথবা ব্যবহারকারীর নিজের ইনস্টল করা একটি ক্ষতিকর অ্যাপ। খোলা থাকা চারটি বিষয় হলো low-severity বা informational hardening পরামর্শ।

Gem Wallet কিভাবে আপনার key সুরক্ষিত রাখে

Cure53 ওয়ালেটের গোপন ডেটা শুরু থেকে শেষ পর্যন্ত অনুসরণ করেছে - ইমপোর্ট, এনক্রিপ্টেড সংরক্ষণ, অ্যাকাউন্ট ডেরিভেশন, স্বাক্ষর, এক্সপোর্ট এবং মুছে ফেলা - এবং এর ভিত্তিগুলো নিশ্চিত করেছে:

• দুটি অ্যাপের জন্য একটি Rust কোর: iOS (Swift) এবং Android (Kotlin) অ্যাপ একই Rust কোর ব্যবহার করে। দৈনন্দিন স্বাক্ষরের সময় ডিক্রিপ্ট করা private key Rust এর ভেতরেই থাকে; অ্যাপগুলো শুধু স্বাক্ষরিত লেনদেন পায়।
• সংরক্ষিত ডেটার শক্তিশালী এনক্রিপশন: প্রতিটি গোপন তথ্য Argon2id দিয়ে তৈরি একটি key ব্যবহার করে AES-256-GCM দিয়ে এনক্রিপ্ট করা হয়, এবং ফাইলের হেডারও প্রমাণীকৃত হয়। Cure53 দেখেছে যে Argon2id এর প্যারামিটার বর্তমান সুপারিশের সঙ্গে সামঞ্জস্যপূর্ণ এবং কোথাও nonce পুনর্ব্যবহার হয়নি।
• সুরক্ষিত পাসওয়ার্ড সংরক্ষণ: ওয়ালেটের পাসওয়ার্ড iOS Keychain বা Android Keystore এ রাখা হয়।
• নিরাপদ র‍্যান্ডমনেস: সিক্রেট ফ্রেজ, nonce এবং salt আসে একটি নিরাপদ র‍্যান্ডম উৎস থেকে।
• 56টি নেটওয়ার্কে ঠিকানা যাচাই: ডেরিভেশন টেস্টে নির্দিষ্ট প্রত্যাশিত ঠিকানা ব্যবহার করা হয়, এবং সিক্রেট ফ্রেজ ব্যবহার করে এমন সব 56টি নেটওয়ার্কেই ঠিকানা মিলে গেছে।

Cure53 অডিটের পর Gem Wallet এর সংশোধন

বেশিরভাগ সমাধান অ্যাপ লককে আরও শক্তিশালী করে। Gem Wallet এখন ওয়ালেট তৈরি বা ইমপোর্ট করার সময় এটি চালু করার প্রস্তাব দেয়, আর অ্যাপ লক চালু থাকলে ওয়ালেট মুছতে আপনার পাসকোড বা বায়োমেট্রিক্স লাগে। Android এ ওয়ালেটের পাসওয়ার্ড এখন সবসময় একটি Android Keystore key দিয়ে সুরক্ষিত, আর অ্যাপ লক চালু থাকলে সেই key এর জন্য আপনার ডিভাইসের PIN বা বায়োমেট্রিক্স লাগে - এতে রুট করা ফোনে Cure53 যে বাইপাসগুলো খুঁজে পেয়েছিল, সেগুলো বন্ধ হয়ে যায়।

আমরা অ্যাপগুলোকেও আরও সুরক্ষিত করেছি। Android এ dApps এখন একটি যাচাইকৃত gemwallet.com লিংকের মাধ্যমে Gem এ ফিরে আসে, যা অন্য কোনো অ্যাপ দাবি করতে পারে না। iOS এ আপনার সিক্রেট ফ্রেজ এবং private key স্ক্রিনশট, স্ক্রিন রেকর্ডিং এবং app switcher থেকে লুকানো থাকে। Rust কোরে সিক্রেট ফ্রেজ এবং ডেরিভেশনে তৈরি key এখন ব্যবহারের ঠিক পরেই মেমোরি থেকে মুছে ফেলা হয়। এই সব সমাধান Gem Wallet সংস্করণ 2.114.73 এবং পরবর্তী সংস্করণগুলোতে পাওয়া যাচ্ছে।

কেন এটি আমাদের ব্যবহারকারীদের জন্য গুরুত্বপূর্ণ

Gem Wallet একটি 100% ওপেন-সোর্স সেলফ-কাস্টডি ওয়ালেট: আপনার private key শুধু আপনার ডিভাইসেই সংরক্ষিত থাকে, এবং আমাদের টিমসহ কারও সেগুলোতে অ্যাক্সেস নেই। সব কোড GitHub এ উন্মুক্ত, তাই যে কেউ অডিট করা সংস্করণ এবং পরবর্তী সমাধানগুলো পর্যালোচনা করতে পারেন।

ওপেন-সোর্স কোড দেখায় ওয়ালেটটি কিভাবে তৈরি, আর স্বাধীন অডিট ওয়ালেটের নিরাপত্তা নিশ্চিত করে। দুটি মিলে আমাদের ব্যবহারকারীদের দেয় সবচেয়ে গুরুত্বপূর্ণ জিনিস - এই আস্থা যে তাদের ক্রিপ্টো শুধু তাদের নিজেদের নিয়ন্ত্রণেই থাকে।

Cure53 অডিট রিপোর্ট (PDF)

📄 Gem Wallet এর Cure53 অডিট রিপোর্ট (PDF)

📄 Gem Wallet এর Cure53 অডিট সারসংক্ষেপ (PDF)

এখন দুটি স্বাধীন অডিট Gem Wallet এর পেছনে আছে - 2026 সালের এপ্রিলে CertiK এবং 2026 সালের অক্টোবরে Cure53 - এবং আমরা আমাদের কোড পর্যালোচনার জন্য স্বাধীন অডিটরদের আমন্ত্রণ জানাতে থাকব। অডিট-পরবর্তী সব সমাধান পেতে Gem Wallet সর্বশেষ সংস্করণে আপডেট করুন - এবং 24/7 নিরাপদে ও প্রাইভেসির সাথে আপনার ক্রিপ্টো পরিচালনা করুন।

দায়মুক্তি: এই লেখাটি শুধু তথ্য ও শিক্ষার উদ্দেশ্যে, এটি আর্থিক বা বিনিয়োগ পরামর্শ নয়। ক্রিপ্টো অ্যাসেটের দাম খুব ওঠানামা করে, বিনিয়োগ করা সব টাকা হারাতে পারেন। নিজে যাচাই করুন এবং নিজের ঝুঁকিতে সিদ্ধান্ত নিন।