Table of Contents
Gem Wallet hat eine gründliche Sicherheitsprüfung durch Cure53 bestanden: Weder im Rust-Kern der Wallet noch in ihren iOS- und Android-Apps wurden Probleme mit kritischem oder hohem Schweregrad gefunden, und alle Befunde mittleren Schweregrads sind behoben oder entschärft. Der Abschlussbericht ist auf den 21. Oktober 2026 datiert. Für unsere Nutzer ist das ein weiterer Grund, Krypto mit Gem Wallet ganz entspannt aufzubewahren, zu senden und zu swappen.
Was ist Cure53?
Cure53 ist ein Berliner Unternehmen, das sich seit 2007 auf Sicherheitsaudits von Anwendungen spezialisiert. Im Team arbeiten 30 unabhängige Experten, und auf seiner Website hat das Unternehmen mehr als 130 Audit-Berichte veröffentlicht.
Bekannt ist Cure53 nicht nur für Audits: Das Team hat DOMPurify entwickelt, ein Open-Source-Tool, das Webanwendungen vor XSS-Angriffen schützt. Zu den auditierten Projekten gehören 1Password, Mullvad VPN, Proton Pass und Threema.
Was Cure53 bei Gem Wallet geprüft hat
Im September 2026 hat ein Team aus vier erfahrenen Cure53-Testern 13 Tage lang einen Penetrationstest und ein Quellcode-Audit von Gem Wallet in Version 2.114.40 durchgeführt. Das Audit folgte dem White-Box-Ansatz: Cure53 hatte vollen Zugriff auf den Quellcode, hat ihn geprüft und die Release-Builds für iOS und Android getestet. Das Backend war nicht Teil dieses Audits.
Im Mittelpunkt stand der Rust-Kern, der in beiden Apps Ihre Schlüssel schützt:
- Verschlüsselter Keystore: Wie die Wallet geheime Daten verschlüsselt, speichert und löscht und wie diese zwischen dem Rust-Kern und den Apps übergeben werden.
- Schlüssel und Signieren: Import der geheimen Phrase, Ableitung von Konten und Signieren von Transaktionen.
- Passwortschutz: Wie die iOS- und Android-Apps das Wallet-Passwort speichern und verwenden.
Ergebnisse des Gem-Wallet-Audits
Cure53 hat keine Probleme mit kritischem oder hohem Schweregrad gefunden. Von den 21 Befunden sind 17 bereits behoben oder entschärft, darunter alle Befunde mittleren Schweregrads, und Cure53 hat jede Korrektur in einer Nachprüfung bestätigt:
- Kritisch - 0
- Hoch - 0
- Mittel - 6 (alle behoben oder entschärft)
- Niedrig - 10 (8 behoben)
- Informativ - 5 (3 behoben)
Die Befunde mittleren Schweregrads betrafen die Autorisierung auf dem Gerät selbst: So war die App-Sperre standardmäßig nicht aktiviert, und auf einem gerooteten Android-Telefon ließ sich die Passcode-Prüfung umgehen. Jeder dieser Befunde setzte voraus, dass ein Angreifer ein entsperrtes oder gerootetes Telefon in den Händen hält oder der Nutzer selbst eine schädliche App installiert hat. Die vier offenen Punkte sind Härtungsempfehlungen mit niedrigem Schweregrad oder rein informativem Charakter.
Wie Gem Wallet Ihre Schlüssel schützt
Cure53 hat den gesamten Weg der geheimen Daten in der Wallet nachverfolgt - Import, verschlüsselte Speicherung, Ableitung von Konten, Signieren, Export und Löschen - und die Grundlagen bestätigt:
- Ein Rust-Kern für beide Apps: Die Apps für iOS (Swift) und Android (Kotlin) nutzen denselben Rust-Kern. Beim alltäglichen Signieren bleiben entschlüsselte private Schlüssel innerhalb von Rust, und die Apps erhalten nur die signierte Transaktion.
- Starke Verschlüsselung im Ruhezustand: Jedes Geheimnis wird mit AES-256-GCM verschlüsselt, mit einem per Argon2id abgeleiteten Schlüssel, und auch der Datei-Header ist authentifiziert. Laut Cure53 entsprechen die Argon2id-Parameter den aktuellen Empfehlungen, und Cure53 hat keine Nonce-Wiederverwendung festgestellt.
- Geschützte Passwortspeicherung: Das Wallet-Passwort liegt in der iOS Keychain oder im Android Keystore.
- Sicherer Zufall: Geheime Phrasen, Nonces und Salts stammen aus einer sicheren Zufallsquelle.
- Adressprüfung in 56 Blockchains: Die Ableitungstests arbeiten mit festen erwarteten Adressen, und in allen 56 Blockchains, die eine geheime Phrase nutzen, stimmten die Adressen überein.
Was wir nach dem Audit behoben haben
Die meisten Korrekturen stärken die App-Sperre. Gem Wallet bietet jetzt an, sie beim Erstellen oder Importieren einer Wallet zu aktivieren, und bei aktiver App-Sperre verlangt das Löschen einer Wallet Ihren Passcode oder Ihre Biometrie. Unter Android ist das Wallet-Passwort jetzt immer durch einen Android-Keystore-Schlüssel geschützt, und bei aktiver App-Sperre erfordert dieser Schlüssel die PIN oder Biometrie Ihres Geräts - damit sind die Umgehungen geschlossen, die Cure53 auf gerooteten Telefonen gefunden hat.
Außerdem haben wir die Apps selbst gehärtet. Unter Android kehren DApps jetzt über einen verifizierten gemwallet.com-Link zu Gem zurück, den keine andere App für sich beanspruchen kann. Unter iOS sind Ihre geheime Phrase und Ihr privater Schlüssel vor Screenshots, Bildschirmaufnahmen und dem App-Umschalter verborgen. Im Rust-Kern werden geheime Phrasen und abgeleitete Schlüssel jetzt direkt nach der Verwendung aus dem Speicher gelöscht.
Warum das für unsere Nutzer wichtig ist
Gem Wallet ist eine Non-Custodial Wallet mit 100 % Open-Source-Code: Die privaten Schlüssel werden nur auf Ihrem Gerät gespeichert, und niemand, auch nicht unser Team, hat Zugriff darauf. Der gesamte Code ist auf GitHub offen, sodass jeder die auditierte Version und die anschließenden Korrekturen prüfen kann.
Offener Code zeigt, wie die Wallet aufgebaut ist, und ein unabhängiges Audit bestätigt ihre Sicherheit. Zusammen geben sie unseren Nutzern das Wichtigste - die Gewissheit, dass ihre Krypto allein unter ihrer Kontrolle bleibt.
Lesen Sie den vollständigen Cure53-Bericht
📄 Gem Wallet Cure53-Audit-Bericht (PDF)
📄 Gem Wallet Cure53-Audit-Zusammenfassung (PDF)
Mit CertiK und Cure53 stehen jetzt zwei unabhängige Audits hinter Gem Wallet, und wir werden auch weiterhin unabhängige Experten einladen, unseren Code zu prüfen. Aktualisieren Sie Gem Wallet auf die neueste Version, um alle Korrekturen nach dem Audit zu erhalten - und verwalten Sie Ihre Krypto rund um die Uhr sicher und privat.
Hinweis: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto-Assets sind sehr volatil, und das eingesetzte Geld kann vollständig verloren gehen. Informieren Sie sich selbst und treffen Sie Entscheidungen auf eigenes Risiko.
