Table of Contents
Gem Wallet prošel hloubkovou bezpečnostní kontrolou společnosti Cure53: v jádru Rust peněženky ani v aplikacích pro iOS a Android se nenašly žádné problémy kritické ani vysoké závažnosti a všechna zjištění střední závažnosti byla opravena nebo zmírněna. Závěrečná zpráva je datována 21. října 2026. Pro naše uživatele je to další důvod, proč s klidem uchovávat, posílat a swapovat kryptoměny v peněžence Gem Wallet.
Co je Cure53?
Cure53 je berlínská společnost, která se od roku 2007 specializuje na bezpečnostní audity aplikací. Její tým tvoří 30 nezávislých expertů a na svém webu společnost zveřejnila více než 130 auditních zpráv.
Cure53 není známý jen audity: jeho tým vytvořil DOMPurify, open-source nástroj, který chrání webové aplikace před útoky XSS. Mezi projekty, které auditoval, patří 1Password, Mullvad VPN, Proton Pass a Threema.
Co Cure53 v Gem Wallet prověřil
V září 2026 strávil tým čtyř seniorních testerů Cure53 13 dní penetračním testem a auditem zdrojového kódu Gem Wallet verze 2.114.40. Audit probíhal metodou white-box: Cure53 měl plný přístup ke zdrojovému kódu, prošel ho a otestoval release buildy pro iOS a Android. Backend součástí tohoto auditu nebyl.
Audit se zaměřil na jádro Rust, které chrání vaše klíče v obou aplikacích:
- Šifrovaný keystore: jak peněženka šifruje, ukládá a maže tajná data a jak se tato data přenášejí mezi jádrem Rust a aplikacemi.
- Klíče a podepisování: import tajné fráze, odvození účtů a podepisování transakcí.
- Ochrana hesla: jak aplikace pro iOS a Android ukládají a používají heslo peněženky.
Výsledky auditu Gem Wallet
Cure53 nenašel žádné problémy kritické ani vysoké závažnosti. Z 21 zjištění je 17 už opraveno nebo zmírněno, včetně všech zjištění střední závažnosti, a Cure53 každou opravu potvrdil při následné kontrole:
- Kritické - 0
- Vysoké - 0
- Střední - 6 (všechna opravena nebo zmírněna)
- Nízké - 10 (8 opraveno)
- Informativní - 5 (3 opravena)
Zjištění střední závažnosti se týkala autorizace přímo v zařízení: například uzamčení aplikace nebylo ve výchozím nastavení zapnuté a na rootnutém telefonu Android šlo obejít kontrolu PIN kódu. Každé z nich vyžadovalo odemčený nebo rootnutý telefon v rukou útočníka, případně škodlivou aplikaci, kterou si uživatel sám nainstaloval. Čtyři otevřené body jsou doporučení ke zpevnění s nízkou závažností nebo informativní povahy.
Jak Gem Wallet chrání vaše klíče
Cure53 sledoval tajná data peněženky od začátku do konce - import, šifrované uložení, odvození účtů, podepisování, export a smazání - a potvrdil, že základy jsou pevné:
- Jedno jádro Rust pro obě aplikace: Aplikace pro iOS (Swift) a Android (Kotlin) sdílejí stejné jádro Rust. Při běžném podepisování zůstávají dešifrované soukromé klíče (private keys) uvnitř jádra Rust a aplikace dostávají jen podepsanou transakci.
- Silné šifrování uložených dat: Každé tajemství je šifrováno pomocí AES-256-GCM klíčem odvozeným přes Argon2id a ověřená je i hlavička souboru. Podle Cure53 odpovídají parametry Argon2id aktuálním doporučením a k opakovanému použití nonce nedochází.
- Chráněné uložení hesla: Heslo peněženky je uložené v iOS Keychain nebo v Android Keystore.
- Bezpečná náhodnost: Tajné fráze, nonce a salty pocházejí z bezpečného zdroje náhodnosti.
- Kontrola adres napříč 56 sítěmi: Testy odvození používají pevně dané očekávané adresy a u všech 56 sítí, které používají tajnou frázi, se adresy shodovaly.
Co jsme po auditu opravili
Většina oprav posiluje uzamčení aplikace. Gem Wallet teď nabízí jeho zapnutí při vytváření nebo importu peněženky, a když je uzamčení aplikace zapnuté, smazání peněženky vyžaduje váš PIN kód nebo biometrii. V systému Android je heslo peněženky nyní vždy chráněno klíčem Android Keystore, a když je uzamčení aplikace zapnuté, tento klíč vyžaduje PIN zařízení nebo biometrii - tím se uzavírají způsoby obejití, které Cure53 našel na rootnutých telefonech.
Posílili jsme také samotné aplikace. V systému Android se dApps nyní vracejí do aplikace Gem přes ověřený odkaz gemwallet.com, který si žádná jiná aplikace nemůže přisvojit. V systému iOS jsou vaše tajná fráze a soukromý klíč skryté před snímky obrazovky, záznamy obrazovky a přepínačem aplikací. V jádru Rust se tajné fráze a odvozené klíče nyní mažou z paměti hned po použití.
Proč na tom našim uživatelům záleží
Gem Wallet je 100% open-source nekustodiální peněženka: soukromé klíče jsou uložené jen ve vašem zařízení a nikdo, ani náš tým, k nim nemá přístup. Veškerý kód je otevřený na GitHubu, takže si kdokoli může prohlédnout auditovanou verzi i opravy, které po ní následovaly.
Open-source kód ukazuje, jak je peněženka postavená, a nezávislý audit potvrzuje její bezpečnost. Společně dávají našim uživatelům to nejdůležitější - jistotu, že jejich kryptoměny zůstávají jen pod jejich kontrolou.
Přečtěte si celou zprávu Cure53
📄 Zpráva o auditu Gem Wallet od Cure53 (PDF)
📄 Shrnutí auditu Gem Wallet od Cure53 (PDF)
Za Gem Wallet teď stojí dva nezávislé audity, CertiK a Cure53, a nezávislé experty budeme ke kontrole našeho kódu zvát i nadále. Aktualizujte Gem Wallet na nejnovější verzi, abyste získali všechny opravy po auditu - a spravujte své kryptoměny bezpečně a soukromě 24/7.
Upozornění: tento článek slouží pouze k informačním a vzdělávacím účelům a nepředstavuje finanční ani investiční doporučení. Kryptoaktiva jsou velmi volatilní a můžete přijít o všechny investované peníze. Udělejte si vlastní průzkum a rozhodujte se na vlastní riziko.
