Gem Wallet ممیزی امنیتی Cure53 را تکمیل می‌کند

Gem Wallet یک بررسی امنیتی عمیق از سوی Cure53 را پشت سر گذاشته است: هیچ مشکل بحرانی یا با شدت بالا در هسته Rust کیف پول و اپلیکیشن‌های iOS و Android آن پیدا نشد و همه یافته‌های متوسط رفع یا مهار شده‌اند. گزارش نهایی به تاریخ 21 اکتبر 2026 است. برای کاربران ما، این یک دلیل دیگر است تا ارز دیجیتال خود را با خیال راحت در Gem Wallet نگهداری، ارسال و swap کنند.

Cure53 چیست؟

Cure53 شرکتی مستقر در برلین است که از سال 2007 در ممیزی امنیتی اپلیکیشن‌ها تخصص دارد. تیم آن 30 متخصص مستقل را گرد هم آورده است و این شرکت بیش از 130 گزارش ممیزی در وب‌سایت خود منتشر کرده است.

شهرت Cure53 فقط به ممیزی‌ها محدود نمی‌شود: تیم این شرکت DOMPurify را ساخته است، ابزاری متن‌باز که از اپلیکیشن‌های وب در برابر حملات XSS محافظت می‌کند. 1Password، Mullvad VPN، Proton Pass و Threema از جمله پروژه‌هایی هستند که Cure53 ممیزی کرده است.

Cure53 چه چیزی را در Gem Wallet بررسی کرد

در سپتامبر 2026، تیمی متشکل از چهار تستر ارشد Cure53 به مدت 13 روز روی تست نفوذ و ممیزی کد منبع نسخه 2.114.40 Gem Wallet کار کرد. این ممیزی با رویکرد white-box انجام شد: Cure53 به کد منبع دسترسی کامل داشت، آن را بررسی کرد و بیلدهای release اپلیکیشن‌های iOS و Android را آزمایش کرد. بک‌اند بخشی از این ممیزی نبود.

تمرکز ممیزی بر هسته Rust بود که در هر دو اپلیکیشن از کلیدهای شما محافظت می‌کند:

• مخزن کلید رمزگذاری‌شده: کیف پول چگونه اسرار را رمزگذاری، ذخیره و حذف می‌کند و این اسرار چگونه بین هسته Rust و اپلیکیشن‌ها جابه‌جا می‌شوند.
• کلیدها و امضا: وارد کردن عبارت محرمانه، مشتق‌سازی حساب‌ها و امضای تراکنش‌ها.
• محافظت از رمز عبور: اپلیکیشن‌های iOS و Android چگونه رمز عبور کیف پول را ذخیره و استفاده می‌کنند.

نتایج ممیزی Gem Wallet

Cure53 هیچ مشکل بحرانی یا با شدت بالا پیدا نکرد. از 21 یافته، 17 مورد تاکنون رفع یا مهار شده‌اند، از جمله همه یافته‌های متوسط، و Cure53 هر رفع را در یک بررسی پیگیری تأیید کرد:

• بحرانی - 0
• بالا - 0
• متوسط - 6 (همه رفع یا مهار شدند)
• پایین - 10 (8 مورد رفع شد)
• اطلاعاتی - 5 (3 مورد رفع شد)

یافته‌های متوسط به مجوزدهی روی خود دستگاه مربوط بودند: برای مثال، قفل اپلیکیشن به‌طور پیش‌فرض روشن نبود و روی گوشی Android روت‌شده امکان دور زدن بررسی رمز عبور دستگاه وجود داشت. هر یک از آن‌ها به گوشی قفل‌نشده یا روت‌شده در دست مهاجم، یا به اپلیکیشن مخربی که خود کاربر نصب کرده باشد، نیاز داشت. چهار مورد باز، پیشنهادهای سخت‌سازی با شدت پایین یا اطلاعاتی هستند.

Gem Wallet چگونه از کلیدهای شما محافظت می‌کند

Cure53 مسیر اسرار کیف پول را از ابتدا تا انتها دنبال کرد - وارد کردن، ذخیره‌سازی رمزگذاری‌شده، مشتق‌سازی حساب‌ها، امضا، خروجی گرفتن و حذف - و پایه‌های امنیتی را تأیید کرد:

• یک هسته Rust برای هر دو اپلیکیشن: اپلیکیشن‌های iOS (Swift) و Android (Kotlin) از یک هسته Rust مشترک استفاده می‌کنند. در امضای روزمره، کلیدهای خصوصی رمزگشایی‌شده داخل Rust می‌مانند و اپلیکیشن‌ها فقط تراکنش امضاشده را دریافت می‌کنند.
• رمزگذاری قوی در حالت ذخیره: هر راز با AES-256-GCM و با کلیدی که از طریق Argon2id مشتق می‌شود رمزگذاری می‌شود و اصالت هدر فایل نیز تأیید می‌شود. Cure53 پارامترهای Argon2id را مطابق توصیه‌های فعلی یافت و هیچ استفاده مجددی از nonce پیدا نکرد.
• ذخیره‌سازی محافظت‌شده رمز عبور: رمز عبور کیف پول در iOS Keychain یا Android Keystore نگهداری می‌شود.
• تصادفی بودن امن: عبارت‌های محرمانه، nonceها و saltها از یک منبع تصادفی امن به دست می‌آیند.
• بررسی آدرس‌ها در 56 شبکه: تست‌های مشتق‌سازی از آدرس‌های مورد انتظار ثابت استفاده می‌کنند و نتیجه در همه 56 شبکه‌ای که از عبارت محرمانه استفاده می‌کنند مطابقت داشت.

پس از ممیزی چه چیزهایی را رفع کردیم

بیشتر رفع‌ها قفل اپلیکیشن را قوی‌تر می‌کنند. Gem Wallet اکنون هنگام ساختن یا وارد کردن کیف پول پیشنهاد می‌کند آن را روشن کنید و وقتی قفل اپلیکیشن روشن است، حذف کیف پول به رمز عبور دستگاه یا بیومتریک نیاز دارد. در Android، رمز عبور کیف پول اکنون همیشه با یک کلید Android Keystore محافظت می‌شود و وقتی قفل اپلیکیشن روشن است، این کلید به PIN یا بیومتریک دستگاه شما نیاز دارد، و همین راه‌های دور زدنی را که Cure53 روی گوشی‌های روت‌شده پیدا کرده بود می‌بندد.

ما خود اپلیکیشن‌ها را هم مقاوم‌تر کردیم. در Android، DAppها اکنون از طریق یک لینک تأییدشده gemwallet.com به Gem برمی‌گردند که هیچ اپلیکیشن دیگری نمی‌تواند آن را تصاحب کند. در iOS، عبارت محرمانه و کلید خصوصی شما در اسکرین‌شات‌ها، ضبط صفحه و سوئیچر اپلیکیشن‌ها پنهان می‌شوند. در هسته Rust، عبارت‌های محرمانه و کلیدهای مشتق‌شده اکنون بلافاصله پس از استفاده از حافظه پاک می‌شوند.

چرا این برای کاربران ما مهم است

Gem Wallet یک کیف پول خودنگهدار 100% متن‌باز است: کلیدهای خصوصی فقط روی دستگاه شما ذخیره می‌شوند و هیچ‌کس، از جمله تیم ما، به آن‌ها دسترسی ندارد. همه کد در GitHub باز است، بنابراین هر کسی می‌تواند نسخه ممیزی‌شده و رفع‌های بعدی را بررسی کند.

کد متن‌باز نشان می‌دهد کیف پول چگونه ساخته شده است و ممیزی مستقل امنیت کیف پول را تأیید می‌کند. این دو در کنار هم مهم‌ترین چیز را به کاربران ما می‌دهند - اطمینان از اینکه ارز دیجیتالشان فقط تحت کنترل خودشان می‌ماند.

گزارش کامل Cure53 را بخوانید

📄 گزارش ممیزی Cure53 برای Gem Wallet (PDF)

📄 خلاصه ممیزی Cure53 برای Gem Wallet (PDF)

اکنون دو ممیزی مستقل، CertiK و Cure53، پشتوانه Gem Wallet هستند و ما همچنان از متخصصان مستقل دعوت می‌کنیم تا کد ما را بررسی کنند. Gem Wallet را به آخرین نسخه به‌روزرسانی کنید تا همه رفع‌های پس از ممیزی را دریافت کنید - و ارز دیجیتال خود را به‌صورت امن و خصوصی، 24/7 مدیریت کنید.

سلب مسئولیت: این مقاله فقط جنبه اطلاع‌رسانی و آموزشی دارد و توصیه مالی یا سرمایه‌گذاری نیست. دارایی‌های رمزنگاری‌شده نوسان زیادی دارند و ممکن است تمام پولی را که سرمایه‌گذاری می‌کنید از دست بدهید. خودتان تحقیق کنید و با مسئولیت خودتان تصمیم بگیرید.