Gem Wallet dokončuje bezpečnostní audit Cure53

Gem Wallet prošel hloubkovým bezpečnostním auditem Cure53: v jádru Rust peněženky ani v aplikacích pro iOS a Android se nenašly žádné problémy kritické ani vysoké závažnosti a všechna zjištění střední závažnosti byla opravena nebo zmírněna. Závěrečná zpráva je datována 21. října 2026. Pro naše uživatele je to další důvod, proč s klidem uchovávat, posílat a swapovat kryptoměny v peněžence Gem Wallet.

Co je Cure53?

Cure53 je berlínská společnost v oblasti kybernetické bezpečnosti, která od roku 2007 provádí penetrační testy a audituje kód, infrastrukturu a kryptografii. Založil ji Dr.-Ing. Mario Heiderich, který získal inženýrský doktorát v oboru webové bezpečnosti, a mezi jejích 30 nezávislých bezpečnostních výzkumníků patří držitelé doktorátů z inženýrství, aplikované kryptografie a fyziky. Na svém webu Cure53 zveřejnil více než 130 auditních zpráv.

Práce Cure53 chrání mnohem víc než jen jeho klienty: jeho tým vytvořil DOMPurify, open-source knihovnu, která brání webové aplikace před útoky XSS a kterou vývojáři každý týden stahují desítky milionů krát. Jeho zprávám důvěřují týmy, které stojí za 1Password, Mullvad VPN, Proton Pass, Threema a Bitwarden - produkty, jejichž celý slib uživatelům stojí na soukromí a bezpečnosti.

Co Cure53 v Gem Wallet prověřil

Audit Gem Wallet provedli čtyři seniorní auditoři Cure53: zakladatel Cure53 Dr.-Ing. Mario Heiderich, Dr. Alexander Pirker, Dr. Nadim Kobeissi a MSc. C. Mayr. Gem Wallet si audit objednal v červenci 2026 a v září 2026 auditoři strávili 13 dní penetračním testem a auditem zdrojového kódu Gem Wallet verze 2.114.40. Audit probíhal metodou white-box: Cure53 měl plný přístup ke zdrojovému kódu, prošel ho a otestoval release buildy pro iOS a Android. Backend součástí tohoto auditu nebyl.

Audit se zaměřil na jádro Rust, které chrání vaše klíče v obou aplikacích:

• Šifrovaný keystore (v4 Keystore and UniFFI Secret Boundary): Jak peněženka šifruje, ukládá a maže tajná data a jak se tato data přenášejí mezi jádrem Rust a aplikacemi.
• Klíče a podepisování (Derivation, Import and Signing Primitives): Import tajné fráze, odvození účtů a podepisování transakcí.
• Ochrana hesla (iOS/Android Password Custody): Jak aplikace pro iOS a Android ukládají a používají heslo peněženky.

Výsledky auditu Gem Wallet

Cure53 nenašel žádné problémy kritické ani vysoké závažnosti. Z 21 zjištění je 17 už opraveno nebo zmírněno, včetně všech zjištění střední závažnosti, a Cure53 každou opravu potvrdil při následné kontrole:

• Kritické - 0
• Vysoké - 0
• Střední - 6 (všechna opravena nebo zmírněna)
• Nízké - 10 (8 opraveno)
• Informativní - 5 (3 opravena)

Zjištění střední závažnosti se týkala autorizace přímo v zařízení: například uzamčení aplikace nebylo ve výchozím nastavení zapnuté a na rootnutém telefonu Android šlo obejít kontrolu PIN kódu. Každé z nich vyžadovalo odemčený nebo rootnutý telefon v rukou útočníka, případně škodlivou aplikaci, kterou si uživatel sám nainstaloval. Čtyři otevřené body jsou doporučení ke zpevnění s nízkou závažností nebo informativní povahy.

Jak Gem Wallet chrání vaše klíče

Cure53 sledoval tajná data peněženky od začátku do konce - import, šifrované uložení, odvození účtů, podepisování, export a smazání - a potvrdil, že základy jsou pevné:

• Jedno jádro Rust pro obě aplikace: Aplikace pro iOS (Swift) a Android (Kotlin) sdílejí stejné jádro Rust. Při běžném podepisování zůstávají dešifrované soukromé klíče (private keys) uvnitř jádra Rust a aplikace dostávají jen podepsanou transakci.
• Silné šifrování uložených dat: Každé tajemství je šifrováno pomocí AES-256-GCM klíčem odvozeným přes Argon2id a ověřená je i hlavička souboru. Podle Cure53 odpovídají parametry Argon2id aktuálním doporučením a k opakovanému použití nonce nedochází.
• Chráněné uložení hesla: Heslo peněženky je uložené v iOS Keychain nebo v Android Keystore.
• Bezpečná náhodnost: Tajné fráze, nonce a salty pocházejí z bezpečného zdroje náhodnosti.
• Kontrola adres napříč 56 sítěmi: Testy odvození používají pevně dané očekávané adresy a u všech 56 sítí, které používají tajnou frázi, se adresy shodovaly.

Opravy v Gem Wallet po auditu Cure53

Většina oprav posiluje uzamčení aplikace. Gem Wallet teď nabízí jeho zapnutí při vytváření nebo importu peněženky, a když je uzamčení aplikace zapnuté, smazání peněženky vyžaduje váš PIN kód nebo biometrii. V systému Android je heslo peněženky nyní vždy chráněno klíčem Android Keystore, a když je uzamčení aplikace zapnuté, tento klíč vyžaduje PIN zařízení nebo biometrii - tím se uzavírají způsoby obejití, které Cure53 našel na rootnutých telefonech.

Posílili jsme také samotné aplikace. V systému Android se dApps nyní vracejí do aplikace Gem přes ověřený odkaz gemwallet.com, který si žádná jiná aplikace nemůže přisvojit. V systému iOS jsou vaše tajná fráze a soukromý klíč skryté před snímky obrazovky, záznamy obrazovky a přepínačem aplikací. V jádru Rust se tajné fráze a odvozené klíče nyní mažou z paměti hned po použití. Všechny tyto opravy jsou dostupné v Gem Wallet verze 2.114.73 a novějších.

Proč na tom našim uživatelům záleží

Gem Wallet je 100% open-source nekustodiální peněženka: soukromé klíče jsou uložené jen ve vašem zařízení a nikdo, ani náš tým, k nim nemá přístup. Veškerý kód je otevřený na GitHubu, takže si kdokoli může prohlédnout auditovanou verzi i opravy, které po ní následovaly.

Open-source kód ukazuje, jak je peněženka postavená, a nezávislý audit potvrzuje její bezpečnost. Společně dávají našim uživatelům to nejdůležitější - jistotu, že jejich kryptoměny zůstávají jen pod jejich kontrolou.

Zpráva o auditu Cure53 (PDF)

📄 Zpráva o auditu Gem Wallet od Cure53 (PDF)

📄 Shrnutí auditu Gem Wallet od Cure53 (PDF)

Za Gem Wallet teď stojí dva nezávislé audity - CertiK v dubnu 2026 a Cure53 v říjnu 2026 - a nezávislé auditory budeme ke kontrole našeho kódu zvát i nadále. Aktualizujte Gem Wallet na nejnovější verzi, abyste získali všechny opravy po auditu - a spravujte své kryptoměny bezpečně a soukromě 24/7.

Upozornění: tento článek slouží pouze k informačním a vzdělávacím účelům a nepředstavuje finanční ani investiční doporučení. Kryptoaktiva jsou velmi volatilní a můžete přijít o všechny investované peníze. Udělejte si vlastní průzkum a rozhodujte se na vlastní riziko.