Table of Contents
Gem Wallet a réussi un examen de sécurité approfondi mené par Cure53 : aucun problème de gravité critique ou élevée n’a été trouvé dans le cœur Rust du portefeuille ni dans ses applications iOS et Android, et tous les résultats de gravité moyenne ont été corrigés ou atténués. Le rapport final est daté du 21 octobre 2026. Pour nos utilisateurs, c’est une raison de plus de conserver, d’envoyer et de swapper leurs cryptos dans Gem Wallet en toute sérénité.
Qu’est-ce que Cure53 ?
Cure53 est une société berlinoise spécialisée depuis 2007 dans les audits de sécurité des applications. Son équipe réunit 30 experts indépendants, et la société a publié plus de 130 rapports d’audit sur son site web.
Cure53 ne se limite pas aux audits : l’équipe a créé DOMPurify, un outil open source qui protège les applications web contre les attaques XSS. Parmi les projets qu’elle a audités figurent 1Password, Mullvad VPN, Proton Pass et Threema.
Ce que Cure53 a examiné dans Gem Wallet
En septembre 2026, une équipe de quatre testeurs seniors de Cure53 a consacré 13 jours à un test d’intrusion et à un audit du code source de Gem Wallet en version 2.114.40. L’audit a suivi une approche white-box : Cure53 disposait d’un accès complet au code source, l’a examiné et a testé les builds de production iOS et Android. Le backend ne faisait pas partie de cet audit.
L’audit s’est concentré sur le cœur Rust qui protège vos clés dans les deux applications :
- Keystore chiffré : la manière dont le portefeuille chiffre, stocke et supprime les secrets, et dont ceux-ci transitent entre le cœur Rust et les applications.
- Clés et signature : import de la phrase secrète, dérivation des comptes et signature des transactions.
- Protection par mot de passe : la manière dont les applications iOS et Android stockent et utilisent le mot de passe du portefeuille.
Résultats de l’audit de Gem Wallet
Cure53 n’a trouvé aucun problème de gravité critique ou élevée. Sur les 21 résultats, 17 sont déjà corrigés ou atténués, dont tous les résultats de gravité moyenne, et Cure53 a confirmé chaque correctif lors d’une revue de suivi :
- Critique - 0
- Élevé - 0
- Moyen - 6 (tous corrigés ou atténués)
- Faible - 10 (8 corrigés)
- Informatif - 5 (3 corrigés)
Les résultats de gravité moyenne concernaient l’autorisation sur l’appareil lui-même : par exemple, le verrouillage de l’application n’était pas activé par défaut, et sur un téléphone Android rooté, la vérification du code PIN pouvait être contournée. Chacun d’eux supposait qu’un attaquant ait entre les mains un téléphone déverrouillé ou rooté, ou que l’utilisateur ait lui-même installé une application malveillante. Les quatre points restants sont des suggestions de durcissement de faible gravité ou purement informatives.
Comment Gem Wallet protège vos clés
Cure53 a suivi les secrets du portefeuille de bout en bout - import, stockage chiffré, dérivation des comptes, signature, export et suppression - et en a confirmé les fondations :
- Un seul cœur Rust pour les deux applications : les applications iOS (Swift) et Android (Kotlin) partagent le même cœur Rust. Lors des signatures courantes, les clés privées déchiffrées restent dans Rust ; les applications ne reçoivent que la transaction signée.
- Chiffrement robuste au repos : chaque secret est chiffré en AES-256-GCM avec une clé dérivée via Argon2id, et l’en-tête du fichier est lui aussi authentifié. Cure53 a jugé les paramètres Argon2id conformes aux recommandations actuelles et n’a constaté aucune réutilisation de nonce.
- Stockage protégé du mot de passe : le mot de passe du portefeuille est conservé dans l’iOS Keychain ou l’Android Keystore.
- Aléa sécurisé : les phrases secrètes, les nonces et les sels proviennent d’une source aléatoire sécurisée.
- Vérification des adresses sur 56 blockchains : les tests de dérivation s’appuient sur des adresses attendues fixes, et les 56 blockchains qui utilisent une phrase secrète ont toutes donné les bonnes adresses.
Ce que nous avons corrigé après l’audit
La plupart des correctifs renforcent le verrouillage de l’application. Gem Wallet propose désormais de l’activer lorsque vous créez ou importez un portefeuille, et une fois le verrouillage activé, la suppression d’un portefeuille demande votre code PIN ou votre biométrie. Sur Android, le mot de passe du portefeuille est désormais toujours protégé par une clé Android Keystore et, verrouillage activé, cette clé exige le code PIN ou la biométrie de l’appareil, ce qui ferme les contournements trouvés par Cure53 sur les téléphones rootés.
Nous avons également renforcé les applications elles-mêmes. Sur Android, les DApps reviennent désormais vers Gem via un lien gemwallet.com vérifié qu’aucune autre application ne peut revendiquer. Sur iOS, la phrase secrète et la clé privée sont masquées des captures d’écran, des enregistrements d’écran et du sélecteur d’apps. Dans le cœur Rust, les phrases secrètes et les clés dérivées sont désormais effacées de la mémoire juste après utilisation.
Pourquoi c’est important pour nos utilisateurs
Gem Wallet est un portefeuille non-custodial 100 % open source : vos clés privées sont stockées uniquement sur votre appareil, et personne, pas même notre équipe, n’y a accès. Tout le code est ouvert sur GitHub, si bien que chacun peut examiner la version auditée et les correctifs qui ont suivi.
Le code open source montre comment le portefeuille est construit, et un audit indépendant confirme sa sécurité. Ensemble, ils offrent à nos utilisateurs l’essentiel : la certitude que leurs cryptos restent sous leur seul contrôle.
Lisez le rapport Cure53 complet
📄 Rapport d’audit Cure53 de Gem Wallet (PDF)
📄 Synthèse de l’audit Cure53 de Gem Wallet (PDF)
Deux audits indépendants, CertiK et Cure53, soutiennent désormais Gem Wallet, et nous continuerons d’inviter des experts indépendants à examiner notre code. Mettez Gem Wallet à jour vers la dernière version pour profiter de tous les correctifs post-audit - et gérez vos cryptos en toute sécurité et en toute confidentialité, 24h/24 et 7j/7.
Avertissement : cet article est fourni à titre informatif et éducatif uniquement et ne constitue pas un conseil financier ou d’investissement. Les cryptoactifs sont très volatils et vous pouvez perdre la totalité de la somme investie. Faites vos propres recherches et prenez vos décisions à vos propres risques.
