Gem Wallet completa la auditoría de seguridad de Cure53

Gem Wallet superó una auditoría de seguridad exhaustiva de Cure53: no se encontraron problemas de severidad crítica o alta en el núcleo Rust de la billetera ni en sus apps para iOS y Android, y todos los hallazgos de severidad media se corrigieron o mitigaron. El informe final tiene fecha del 21 de octubre de 2026. Para nuestros usuarios, es una razón más para guardar, enviar y hacer swap de criptomonedas en Gem Wallet con total tranquilidad.

¿Qué es Cure53?

Cure53 es una empresa de ciberseguridad con sede en Berlín que desde 2007 realiza pruebas de penetración y audita código, infraestructura y criptografía. La fundó el Dr.-Ing. Mario Heiderich, que obtuvo su doctorado en ingeniería con una tesis sobre seguridad web, y entre sus 30 investigadores de seguridad independientes hay doctores en ingeniería, criptografía aplicada y física. Cure53 ha publicado más de 130 informes de auditoría en su sitio web.

El trabajo de Cure53 protege mucho más que a sus clientes: el equipo creó DOMPurify, una biblioteca de código abierto que blinda las aplicaciones web frente a los ataques XSS y que los desarrolladores descargan decenas de millones de veces cada semana. En sus informes confían los equipos detrás de 1Password, Mullvad VPN, Proton Pass, Threema y Bitwarden - productos cuya promesa a los usuarios se basa por completo en la privacidad y la seguridad.

Qué revisó Cure53 en Gem Wallet

Cuatro auditores sénior de Cure53 auditaron Gem Wallet: el fundador de Cure53 Dr.-Ing. Mario Heiderich, Dr. Alexander Pirker, Dr. Nadim Kobeissi y MSc. C. Mayr. Gem Wallet encargó la auditoría en julio de 2026, y en septiembre de 2026 los auditores dedicaron 13 días a una prueba de penetración y a una auditoría del código fuente de Gem Wallet en su versión 2.114.40. La auditoría siguió un enfoque white-box: Cure53 tuvo acceso completo al código fuente, lo revisó y probó las compilaciones de producción para iOS y Android. El backend no formó parte de esta auditoría.

La auditoría se centró en el núcleo Rust que protege sus claves en ambas apps:

• Keystore cifrado (v4 Keystore and UniFFI Secret Boundary): cómo la billetera cifra, almacena y elimina los secretos, y cómo estos pasan entre el núcleo Rust y las apps.
• Claves y firma (Derivation, Import and Signing Primitives): importación de la frase secreta, derivación de cuentas y firma de transacciones.
• Protección con contraseña (iOS/Android Password Custody): cómo las apps para iOS y Android almacenan y usan la contraseña de la billetera.

Resultados de la auditoría de Gem Wallet

Cure53 no encontró problemas de severidad crítica o alta. De los 21 hallazgos, 17 ya están corregidos o mitigados, incluidos todos los de severidad media, y Cure53 confirmó cada corrección en una revisión de seguimiento:

• Críticos - 0
• Altos - 0
• Medios - 6 (todos corregidos o mitigados)
• Bajos - 10 (8 corregidos)
• Informativos - 5 (3 corregidos)

Los hallazgos de severidad media tenían que ver con la autorización en el propio dispositivo: por ejemplo, el bloqueo de la app no venía activado por defecto, y en un teléfono Android rooteado se podía eludir la verificación del código PIN. Cada uno de ellos requería que un atacante tuviera en sus manos un teléfono desbloqueado o rooteado, o que el propio usuario hubiera instalado una app maliciosa. Los cuatro puntos abiertos son sugerencias de refuerzo de severidad baja o meramente informativas.

Cómo protege Gem Wallet sus claves

Cure53 rastreó los secretos de la billetera de principio a fin - importación, almacenamiento cifrado, derivación de cuentas, firma, exportación y eliminación - y confirmó sus bases:

• Un solo núcleo Rust para ambas apps: las apps para iOS (Swift) y Android (Kotlin) comparten el mismo núcleo Rust. En la firma cotidiana, las claves privadas descifradas permanecen dentro de Rust; las apps solo reciben la transacción firmada.
• Cifrado sólido en reposo: cada secreto se cifra con AES-256-GCM mediante una clave derivada con Argon2id, y el encabezado del archivo también está autenticado. Según Cure53, los parámetros de Argon2id se ajustan a las recomendaciones actuales, y no hay reutilización de nonce.
• Almacenamiento protegido de la contraseña: la contraseña de la billetera se guarda en el iOS Keychain o en el Android Keystore.
• Aleatoriedad segura: las frases secretas, los nonces y las sales provienen de una fuente aleatoria segura.
• Verificación de direcciones en 56 blockchains: las pruebas de derivación usan direcciones esperadas fijas, y en las 56 blockchains que usan frase secreta las direcciones coincidieron.

Correcciones de Gem Wallet después de la auditoría de Cure53

La mayoría de las correcciones refuerzan el bloqueo de la app. Gem Wallet ahora ofrece activarlo al crear o importar una billetera, y con el bloqueo activado, eliminar una billetera requiere su código PIN o su biometría. En Android, la contraseña de la billetera ahora siempre está protegida por una clave de Android Keystore y, con el bloqueo activado, esa clave exige el PIN o la biometría del dispositivo, lo que cierra las vías de elusión que Cure53 encontró en teléfonos rooteados.

También reforzamos las propias apps. En Android, las DApps ahora regresan a Gem a través de un enlace verificado de gemwallet.com que ninguna otra app puede reclamar. En iOS, la frase secreta y la clave privada quedan ocultas en capturas de pantalla, grabaciones de pantalla y el selector de apps. En el núcleo Rust, las frases secretas y las claves derivadas ahora se borran de la memoria justo después de usarse. Todas estas correcciones están disponibles en Gem Wallet a partir de la versión 2.114.73.

Por qué esto es importante para nuestros usuarios

Gem Wallet es una billetera de autocustodia 100 % de código abierto: sus claves privadas se almacenan solo en su dispositivo, y nadie, ni siquiera nuestro equipo, tiene acceso a ellas. Todo el código está abierto en GitHub, así que cualquiera puede revisar la versión auditada y las correcciones posteriores.

El código abierto muestra cómo está construida la billetera, y una auditoría independiente confirma su seguridad. Juntos, ofrecen a nuestros usuarios lo más importante: la confianza de que sus criptomonedas permanecen solo bajo su control.

Informe de auditoría de Cure53 (PDF)

📄 Informe de auditoría de Gem Wallet por Cure53 (PDF)

📄 Resumen de la auditoría de Gem Wallet por Cure53 (PDF)

Dos auditorías independientes respaldan ahora a Gem Wallet - CertiK en abril de 2026 y Cure53 en octubre de 2026 - y seguiremos invitando a auditores independientes a revisar nuestro código. Actualice Gem Wallet a la última versión para obtener todas las correcciones posteriores a la auditoría - y gestione sus criptomonedas de forma segura y privada 24/7.

Aviso: este artículo tiene fines exclusivamente informativos y educativos y no constituye asesoramiento financiero ni de inversión. Los criptoactivos son muy volátiles y puedes perder todo el dinero que inviertas. Investiga por tu cuenta y toma tus decisiones bajo tu propio riesgo.