Table of Contents
Gem Wallet superó una revisión de seguridad exhaustiva de Cure53: no se encontraron problemas de severidad crítica o alta en el núcleo Rust de la billetera ni en sus apps para iOS y Android, y todos los hallazgos de severidad media se corrigieron o mitigaron. El informe final tiene fecha del 21 de octubre de 2026. Para nuestros usuarios, es una razón más para guardar, enviar y hacer swap de criptomonedas en Gem Wallet con total tranquilidad.
¿Qué es Cure53?
Cure53 es una empresa con sede en Berlín especializada en auditorías de seguridad de aplicaciones desde 2007. Su equipo reúne a 30 expertos independientes, y la empresa ha publicado más de 130 informes de auditoría en su sitio web.
Cure53 es conocida por algo más que sus auditorías: el equipo creó DOMPurify, una herramienta de código abierto que protege las aplicaciones web de los ataques XSS. Entre los proyectos que ha auditado figuran 1Password, Mullvad VPN, Proton Pass y Threema.
Qué revisó Cure53 en Gem Wallet
En septiembre de 2026, un equipo de cuatro testers sénior de Cure53 dedicó 13 días a una prueba de penetración y a una auditoría del código fuente de Gem Wallet en su versión 2.114.40. La auditoría siguió un enfoque white-box: Cure53 tuvo acceso completo al código fuente, lo revisó y probó las compilaciones de producción para iOS y Android. El backend no formó parte de esta auditoría.
La auditoría se centró en el núcleo Rust que protege sus claves en ambas apps:
- Keystore cifrado: cómo la billetera cifra, almacena y elimina los secretos, y cómo estos pasan entre el núcleo Rust y las apps.
- Claves y firma: importación de la frase secreta, derivación de cuentas y firma de transacciones.
- Protección con contraseña: cómo las apps para iOS y Android almacenan y usan la contraseña de la billetera.
Resultados de la auditoría de Gem Wallet
Cure53 no encontró problemas de severidad crítica o alta. De los 21 hallazgos, 17 ya están corregidos o mitigados, incluidos todos los de severidad media, y Cure53 confirmó cada corrección en una revisión de seguimiento:
- Críticos - 0
- Altos - 0
- Medios - 6 (todos corregidos o mitigados)
- Bajos - 10 (8 corregidos)
- Informativos - 5 (3 corregidos)
Los hallazgos de severidad media tenían que ver con la autorización en el propio dispositivo: por ejemplo, el bloqueo de la app no venía activado por defecto, y en un teléfono Android rooteado se podía eludir la verificación del código PIN. Cada uno de ellos requería que un atacante tuviera en sus manos un teléfono desbloqueado o rooteado, o que el propio usuario hubiera instalado una app maliciosa. Los cuatro puntos abiertos son sugerencias de refuerzo de severidad baja o meramente informativas.
Cómo protege Gem Wallet sus claves
Cure53 rastreó los secretos de la billetera de principio a fin - importación, almacenamiento cifrado, derivación de cuentas, firma, exportación y eliminación - y confirmó sus bases:
- Un solo núcleo Rust para ambas apps: las apps para iOS (Swift) y Android (Kotlin) comparten el mismo núcleo Rust. En la firma cotidiana, las claves privadas descifradas permanecen dentro de Rust; las apps solo reciben la transacción firmada.
- Cifrado sólido en reposo: cada secreto se cifra con AES-256-GCM mediante una clave derivada con Argon2id, y el encabezado del archivo también está autenticado. Según Cure53, los parámetros de Argon2id se ajustan a las recomendaciones actuales, y no hay reutilización de nonce.
- Almacenamiento protegido de la contraseña: la contraseña de la billetera se guarda en el iOS Keychain o en el Android Keystore.
- Aleatoriedad segura: las frases secretas, los nonces y las sales provienen de una fuente aleatoria segura.
- Verificación de direcciones en 56 blockchains: las pruebas de derivación usan direcciones esperadas fijas, y en las 56 blockchains que usan frase secreta las direcciones coincidieron.
Qué corregimos después de la auditoría
La mayoría de las correcciones refuerzan el bloqueo de la app. Gem Wallet ahora ofrece activarlo al crear o importar una billetera, y con el bloqueo activado, eliminar una billetera requiere su código PIN o su biometría. En Android, la contraseña de la billetera ahora siempre está protegida por una clave de Android Keystore y, con el bloqueo activado, esa clave exige el PIN o la biometría del dispositivo, lo que cierra las vías de elusión que Cure53 encontró en teléfonos rooteados.
También reforzamos las propias apps. En Android, las DApps ahora regresan a Gem a través de un enlace verificado de gemwallet.com que ninguna otra app puede reclamar. En iOS, la frase secreta y la clave privada quedan ocultas en capturas de pantalla, grabaciones de pantalla y el selector de apps. En el núcleo Rust, las frases secretas y las claves derivadas ahora se borran de la memoria justo después de usarse.
Por qué esto es importante para nuestros usuarios
Gem Wallet es una billetera de autocustodia 100 % de código abierto: sus claves privadas se almacenan solo en su dispositivo, y nadie, ni siquiera nuestro equipo, tiene acceso a ellas. Todo el código está abierto en GitHub, así que cualquiera puede revisar la versión auditada y las correcciones posteriores.
El código abierto muestra cómo está construida la billetera, y una auditoría independiente confirma su seguridad. Juntos, ofrecen a nuestros usuarios lo más importante: la confianza de que sus criptomonedas permanecen solo bajo su control.
Lea el informe completo de Cure53
📄 Informe de auditoría de Gem Wallet por Cure53 (PDF)
📄 Resumen de la auditoría de Gem Wallet por Cure53 (PDF)
Dos auditorías independientes, de CertiK y de Cure53, respaldan ahora a Gem Wallet, y seguiremos invitando a expertos independientes a revisar nuestro código. Actualice Gem Wallet a la última versión para obtener todas las correcciones posteriores a la auditoría - y gestione sus criptomonedas de forma segura y privada 24/7.
Aviso: este artículo tiene fines exclusivamente informativos y educativos y no constituye asesoramiento financiero ni de inversión. Los criptoactivos son muy volátiles y puedes perder todo el dinero que inviertas. Investiga por tu cuenta y toma tus decisiones bajo tu propio riesgo.
