Gem Wallet schließt Cure53-Sicherheitsaudit ab

Gem Wallet hat ein gründliches Cure53-Sicherheitsaudit bestanden: Weder im Rust-Kern der Wallet noch in ihren iOS- und Android-Apps wurden Probleme mit kritischem oder hohem Schweregrad gefunden, und alle Befunde mittleren Schweregrads sind behoben oder entschärft. Der Abschlussbericht ist auf den 21. Oktober 2026 datiert. Für unsere Nutzer ist das ein weiterer Grund, Krypto mit Gem Wallet ganz entspannt aufzubewahren, zu senden und zu swappen.

Was ist Cure53?

Cure53 ist ein Berliner Cybersicherheitsunternehmen, das seit 2007 Penetrationstests durchführt sowie Code, Infrastruktur und Kryptografie auditiert. Gegründet wurde es von Mario Heiderich, der mit einer Arbeit zur Websicherheit zum Dr.-Ing. promoviert wurde, und zu seinen 30 unabhängigen Sicherheitsforschern zählen Promovierte der Ingenieurwissenschaften, der angewandten Kryptografie und der Physik. Auf seiner Website hat Cure53 mehr als 130 Audit-Berichte veröffentlicht.

Die Arbeit von Cure53 schützt weit mehr als nur die eigenen Kunden: Das Team hat DOMPurify entwickelt, eine Open-Source-Bibliothek, die Web-Apps gegen XSS-Angriffe absichert und von Entwicklern jede Woche Dutzende Millionen Mal heruntergeladen wird. Seinen Berichten vertrauen die Teams hinter 1Password, Mullvad VPN, Proton Pass, Threema und Bitwarden - Produkte, deren gesamtes Versprechen an die Nutzer auf Privatsphäre und Sicherheit beruht.

Was Cure53 bei Gem Wallet geprüft hat

Gem Wallet wurde von vier erfahrenen Cure53-Auditoren auditiert: Cure53-Gründer Dr.-Ing. Mario Heiderich, Dr. Alexander Pirker, Dr. Nadim Kobeissi und C. Mayr, M.Sc.. Gem Wallet hat das Audit im Juli 2026 in Auftrag gegeben, und im September 2026 haben die Auditoren 13 Tage lang einen Penetrationstest und ein Quellcode-Audit von Gem Wallet in Version 2.114.40 durchgeführt. Das Audit folgte dem White-Box-Ansatz: Cure53 hatte vollen Zugriff auf den Quellcode, hat ihn geprüft und die Release-Builds für iOS und Android getestet. Das Backend war nicht Teil dieses Audits.

Im Mittelpunkt stand der Rust-Kern, der in beiden Apps Ihre Schlüssel schützt:

• Verschlüsselter Keystore (v4 Keystore and UniFFI Secret Boundary): Wie die Wallet geheime Daten verschlüsselt, speichert und löscht und wie diese zwischen dem Rust-Kern und den Apps übergeben werden.
• Schlüssel und Signieren (Derivation, Import and Signing Primitives): Import der geheimen Phrase, Ableitung von Konten und Signieren von Transaktionen.
• Passwortschutz (iOS/Android Password Custody): Wie die iOS- und Android-Apps das Wallet-Passwort speichern und verwenden.

Ergebnisse des Gem-Wallet-Audits

Cure53 hat keine Probleme mit kritischem oder hohem Schweregrad gefunden. Von den 21 Befunden sind 17 bereits behoben oder entschärft, darunter alle Befunde mittleren Schweregrads, und Cure53 hat jede Korrektur in einer Nachprüfung bestätigt:

• Kritisch - 0
• Hoch - 0
• Mittel - 6 (alle behoben oder entschärft)
• Niedrig - 10 (8 behoben)
• Informativ - 5 (3 behoben)

Die Befunde mittleren Schweregrads betrafen die Autorisierung auf dem Gerät selbst: So war die App-Sperre standardmäßig nicht aktiviert, und auf einem gerooteten Android-Telefon ließ sich die Passcode-Prüfung umgehen. Jeder dieser Befunde setzte voraus, dass ein Angreifer ein entsperrtes oder gerootetes Telefon in den Händen hält oder der Nutzer selbst eine schädliche App installiert hat. Die vier offenen Punkte sind Härtungsempfehlungen mit niedrigem Schweregrad oder rein informativem Charakter.

Wie Gem Wallet Ihre Schlüssel schützt

Cure53 hat den gesamten Weg der geheimen Daten in der Wallet nachverfolgt - Import, verschlüsselte Speicherung, Ableitung von Konten, Signieren, Export und Löschen - und die Grundlagen bestätigt:

• Ein Rust-Kern für beide Apps: Die Apps für iOS (Swift) und Android (Kotlin) nutzen denselben Rust-Kern. Beim alltäglichen Signieren bleiben entschlüsselte private Schlüssel innerhalb von Rust, und die Apps erhalten nur die signierte Transaktion.
• Starke Verschlüsselung gespeicherter Daten: Jedes Geheimnis wird mit AES-256-GCM verschlüsselt, mit einem per Argon2id abgeleiteten Schlüssel, und auch der Datei-Header ist authentifiziert. Laut Cure53 entsprechen die Argon2id-Parameter den aktuellen Empfehlungen, und Cure53 hat keine Nonce-Wiederverwendung festgestellt.
• Geschützte Passwortspeicherung: Das Wallet-Passwort liegt in der iOS Keychain oder im Android Keystore.
• Sichere Zufallszahlen: Geheime Phrasen, Nonces und Salts stammen aus einer sicheren Zufallsquelle.
• Adressprüfung für 56 Blockchains: Die Ableitungstests arbeiten mit festen erwarteten Adressen, und in allen 56 Blockchains, die eine geheime Phrase nutzen, stimmten die Adressen überein.

Korrekturen in Gem Wallet nach dem Cure53-Audit

Die meisten Korrekturen stärken die App-Sperre. Gem Wallet bietet jetzt an, sie beim Erstellen oder Importieren einer Wallet zu aktivieren, und bei aktiver App-Sperre verlangt das Löschen einer Wallet Ihren Passcode oder Ihre Biometrie. Unter Android ist das Wallet-Passwort jetzt immer durch einen Android-Keystore-Schlüssel geschützt, und bei aktiver App-Sperre erfordert dieser Schlüssel die PIN oder Biometrie Ihres Geräts - damit sind die Umgehungen geschlossen, die Cure53 auf gerooteten Telefonen gefunden hat.

Außerdem haben wir die Apps selbst gehärtet. Unter Android kehren DApps jetzt über einen verifizierten gemwallet.com-Link zu Gem zurück, den keine andere App für sich beanspruchen kann. Unter iOS sind Ihre geheime Phrase und Ihr privater Schlüssel vor Screenshots, Bildschirmaufnahmen und dem App-Umschalter verborgen. Im Rust-Kern werden geheime Phrasen und abgeleitete Schlüssel jetzt direkt nach der Verwendung aus dem Speicher gelöscht. Alle diese Korrekturen sind in Gem Wallet ab Version 2.114.73 verfügbar.

Warum das für unsere Nutzer wichtig ist

Gem Wallet ist eine Non-Custodial Wallet mit 100 % Open-Source-Code: Die privaten Schlüssel werden nur auf Ihrem Gerät gespeichert, und niemand, auch nicht unser Team, hat Zugriff darauf. Der gesamte Code ist auf GitHub offen, sodass jeder die auditierte Version und die anschließenden Korrekturen prüfen kann.

Offener Code zeigt, wie die Wallet aufgebaut ist, und ein unabhängiges Audit bestätigt ihre Sicherheit. Zusammen geben sie unseren Nutzern das Wichtigste - die Gewissheit, dass ihre Krypto allein unter ihrer Kontrolle bleibt.

Cure53-Auditbericht (PDF)

📄 Cure53-Auditbericht zu Gem Wallet (PDF)

📄 Zusammenfassung des Cure53-Audits zu Gem Wallet (PDF)

Zwei unabhängige Audits stehen jetzt hinter Gem Wallet - CertiK im April 2026 und Cure53 im Oktober 2026 - und wir werden auch weiterhin unabhängige Auditoren einladen, unseren Code zu prüfen. Aktualisieren Sie Gem Wallet auf die neueste Version, um alle Korrekturen nach dem Audit zu erhalten - und verwalten Sie Ihre Krypto rund um die Uhr sicher und privat.

Hinweis: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto-Assets sind sehr volatil, und das eingesetzte Geld kann vollständig verloren gehen. Informieren Sie sich selbst und treffen Sie Entscheidungen auf eigenes Risiko.