Gem Wallet ممیزی امنیتی Cure53 را تکمیل می‌کند

Gem Wallet یک ممیزی امنیتی عمیق Cure53 را پشت سر گذاشته است: هیچ مشکل بحرانی یا با شدت بالا در هسته Rust کیف پول و اپلیکیشن‌های iOS و Android آن پیدا نشد و همه یافته‌های متوسط رفع یا مهار شده‌اند. گزارش نهایی به تاریخ 21 اکتبر 2026 است. برای کاربران ما، این یک دلیل دیگر است تا ارز دیجیتال خود را با خیال راحت در Gem Wallet نگهداری، ارسال و swap کنند.

Cure53 چیست؟

Cure53 یک شرکت امنیت سایبری مستقر در برلین است که از سال 2007 تست نفوذ انجام می‌دهد و کد، زیرساخت و رمزنگاری را ممیزی می‌کند. این شرکت را Mario Heiderich بنیان گذاشت که دکترای مهندسی خود را در حوزه امنیت وب گرفته است، و در میان 30 پژوهشگر امنیتی مستقل آن، دارندگان دکترا در مهندسی، رمزنگاری کاربردی و فیزیک حضور دارند. Cure53 بیش از 130 گزارش ممیزی در وب‌سایت خود منتشر کرده است.

دامنه محافظت کار Cure53 بسیار فراتر از مشتریانش است: تیم این شرکت DOMPurify را ساخته است، کتابخانه‌ای متن‌باز که از اپلیکیشن‌های وب در برابر حملات XSS محافظت می‌کند و توسعه‌دهندگان هر هفته ده‌ها میلیون بار آن را دانلود می‌کنند. تیم‌های سازنده 1Password، Mullvad VPN، Proton Pass، Threema و Bitwarden به گزارش‌های آن اعتماد دارند - محصولاتی که تمام وعده‌شان به کاربران، حریم خصوصی و امنیت است.

Cure53 چه چیزی را در Gem Wallet بررسی کرد

Gem Wallet را چهار ممیز ارشد Cure53 ممیزی کردند: بنیان‌گذار Cure53 دکتر مهندس Mario Heiderich، دکتر Alexander Pirker، دکتر Nadim Kobeissi و C. Mayr (کارشناسی ارشد). Gem Wallet این ممیزی را در ژوئیه 2026 سفارش داد و ممیزان در سپتامبر 2026 به مدت 13 روز روی تست نفوذ و ممیزی کد منبع نسخه 2.114.40 Gem Wallet کار کردند. این ممیزی با رویکرد white-box انجام شد: Cure53 به کد منبع دسترسی کامل داشت، آن را بررسی کرد و بیلدهای release اپلیکیشن‌های iOS و Android را آزمایش کرد. بک‌اند بخشی از این ممیزی نبود.

تمرکز ممیزی بر هسته Rust بود که در هر دو اپلیکیشن از کلیدهای شما محافظت می‌کند:

• مخزن کلید رمزگذاری‌شده (v4 Keystore and UniFFI Secret Boundary): کیف پول چگونه اسرار را رمزگذاری، ذخیره و حذف می‌کند و این اسرار چگونه بین هسته Rust و اپلیکیشن‌ها جابه‌جا می‌شوند.
• کلیدها و امضا (Derivation, Import and Signing Primitives): وارد کردن عبارت محرمانه، مشتق‌سازی حساب‌ها و امضای تراکنش‌ها.
• محافظت از رمز عبور (iOS/Android Password Custody): اپلیکیشن‌های iOS و Android چگونه رمز عبور کیف پول را ذخیره و استفاده می‌کنند.

نتایج ممیزی Gem Wallet

Cure53 هیچ مشکل بحرانی یا با شدت بالا پیدا نکرد. از 21 یافته، 17 مورد تاکنون رفع یا مهار شده‌اند، از جمله همه یافته‌های متوسط، و Cure53 هر رفع را در یک بررسی پیگیری تأیید کرد:

• بحرانی - 0
• بالا - 0
• متوسط - 6 (همه رفع یا مهار شدند)
• پایین - 10 (8 مورد رفع شد)
• اطلاعاتی - 5 (3 مورد رفع شد)

یافته‌های متوسط به مجوزدهی روی خود دستگاه مربوط بودند: برای مثال، قفل اپلیکیشن به‌طور پیش‌فرض روشن نبود و روی گوشی Android روت‌شده امکان دور زدن بررسی رمز عبور دستگاه وجود داشت. هر یک از آن‌ها به گوشی قفل‌نشده یا روت‌شده در دست مهاجم، یا به اپلیکیشن مخربی که خود کاربر نصب کرده باشد، نیاز داشت. چهار مورد باز، پیشنهادهای سخت‌سازی با شدت پایین یا اطلاعاتی هستند.

Gem Wallet چگونه از کلیدهای شما محافظت می‌کند

Cure53 مسیر اسرار کیف پول را از ابتدا تا انتها دنبال کرد - وارد کردن، ذخیره‌سازی رمزگذاری‌شده، مشتق‌سازی حساب‌ها، امضا، خروجی گرفتن و حذف - و پایه‌های امنیتی را تأیید کرد:

• یک هسته Rust برای هر دو اپلیکیشن: اپلیکیشن‌های iOS (Swift) و Android (Kotlin) از یک هسته Rust مشترک استفاده می‌کنند. در امضای روزمره، کلیدهای خصوصی رمزگشایی‌شده داخل Rust می‌مانند و اپلیکیشن‌ها فقط تراکنش امضاشده را دریافت می‌کنند.
• رمزگذاری قوی در حالت ذخیره: هر راز با AES-256-GCM و با کلیدی که از طریق Argon2id مشتق می‌شود رمزگذاری می‌شود و اصالت هدر فایل نیز تأیید می‌شود. Cure53 پارامترهای Argon2id را مطابق توصیه‌های فعلی یافت و هیچ استفاده مجددی از nonce پیدا نکرد.
• ذخیره‌سازی محافظت‌شده رمز عبور: رمز عبور کیف پول در iOS Keychain یا Android Keystore نگهداری می‌شود.
• تصادفی بودن امن: عبارت‌های محرمانه، nonceها و saltها از یک منبع تصادفی امن به دست می‌آیند.
• بررسی آدرس‌ها در 56 شبکه: تست‌های مشتق‌سازی از آدرس‌های مورد انتظار ثابت استفاده می‌کنند و نتیجه در همه 56 شبکه‌ای که از عبارت محرمانه استفاده می‌کنند مطابقت داشت.

اصلاحات Gem Wallet پس از ممیزی Cure53

بیشتر رفع‌ها قفل اپلیکیشن را قوی‌تر می‌کنند. Gem Wallet اکنون هنگام ساختن یا وارد کردن کیف پول پیشنهاد می‌کند آن را روشن کنید و وقتی قفل اپلیکیشن روشن است، حذف کیف پول به رمز عبور دستگاه یا بیومتریک نیاز دارد. در Android، رمز عبور کیف پول اکنون همیشه با یک کلید Android Keystore محافظت می‌شود و وقتی قفل اپلیکیشن روشن است، این کلید به PIN یا بیومتریک دستگاه شما نیاز دارد، و همین راه‌های دور زدنی را که Cure53 روی گوشی‌های روت‌شده پیدا کرده بود می‌بندد.

ما خود اپلیکیشن‌ها را هم مقاوم‌تر کردیم. در Android، DAppها اکنون از طریق یک لینک تأییدشده gemwallet.com به Gem برمی‌گردند که هیچ اپلیکیشن دیگری نمی‌تواند آن را تصاحب کند. در iOS، عبارت محرمانه و کلید خصوصی شما در اسکرین‌شات‌ها، ضبط صفحه و سوئیچر اپلیکیشن‌ها پنهان می‌شوند. در هسته Rust، عبارت‌های محرمانه و کلیدهای مشتق‌شده اکنون بلافاصله پس از استفاده از حافظه پاک می‌شوند. همه این رفع‌ها در نسخه 2.114.73 Gem Wallet و نسخه‌های بعدی در دسترس هستند.

چرا این برای کاربران ما مهم است

Gem Wallet یک کیف پول خودنگهدار 100% متن‌باز است: کلیدهای خصوصی فقط روی دستگاه شما ذخیره می‌شوند و هیچ‌کس، از جمله تیم ما، به آن‌ها دسترسی ندارد. همه کد در GitHub باز است، بنابراین هر کسی می‌تواند نسخه ممیزی‌شده و رفع‌های بعدی را بررسی کند.

کد متن‌باز نشان می‌دهد کیف پول چگونه ساخته شده است و ممیزی مستقل امنیت کیف پول را تأیید می‌کند. این دو در کنار هم مهم‌ترین چیز را به کاربران ما می‌دهند - اطمینان از اینکه ارز دیجیتالشان فقط تحت کنترل خودشان می‌ماند.

گزارش ممیزی Cure53 (PDF)

📄 گزارش ممیزی Cure53 برای Gem Wallet (PDF)

📄 خلاصه ممیزی Cure53 برای Gem Wallet (PDF)

اکنون دو ممیزی مستقل پشتوانه Gem Wallet هستند - CertiK در آوریل 2026 و Cure53 در اکتبر 2026 - و ما همچنان از ممیزان مستقل دعوت می‌کنیم تا کد ما را بررسی کنند. Gem Wallet را به آخرین نسخه به‌روزرسانی کنید تا همه رفع‌های پس از ممیزی را دریافت کنید - و ارز دیجیتال خود را به‌صورت امن و خصوصی، 24/7 مدیریت کنید.

سلب مسئولیت: این مقاله فقط جنبه اطلاع‌رسانی و آموزشی دارد و توصیه مالی یا سرمایه‌گذاری نیست. دارایی‌های رمزنگاری‌شده نوسان زیادی دارند و ممکن است تمام پولی را که سرمایه‌گذاری می‌کنید از دست بدهید. خودتان تحقیق کنید و با مسئولیت خودتان تصمیم بگیرید.