Gem Wallet ने Cure53 सुरक्षा ऑडिट पूरा किया

Gem Wallet ने Cure53 का गहन सुरक्षा ऑडिट पास कर लिया है: वॉलेट के Rust कोर और इसके iOS व Android ऐप्स में कोई गंभीर या उच्च स्तर की समस्या नहीं मिली, और मध्यम स्तर की हर समस्या ठीक कर दी गई है या उसका जोखिम कम कर दिया गया है। अंतिम रिपोर्ट 21 अक्टूबर, 2026 की है। हमारे उपयोगकर्ताओं के लिए यह Gem Wallet में बेफ़िक्र होकर क्रिप्टो स्टोर करने, भेजने और स्वैप करने की एक और वजह है।

Cure53 क्या है?

Cure53 बर्लिन की एक साइबर सुरक्षा कंपनी है, जो 2007 से पेनिट्रेशन टेस्ट करती है और कोड, इन्फ्रास्ट्रक्चर व क्रिप्टोग्राफी का ऑडिट करती है। इसकी स्थापना Dr.-Ing. Mario Heiderich ने की थी, जिनके पास वेब सुरक्षा में इंजीनियरिंग की डॉक्टरेट है, और इसके 30 स्वतंत्र सुरक्षा शोधकर्ताओं में इंजीनियरिंग, एप्लाइड क्रिप्टोग्राफी और भौतिकी में डॉक्टरेट धारक भी शामिल हैं। Cure53 अपनी वेबसाइट पर 130 से ज़्यादा ऑडिट रिपोर्ट प्रकाशित कर चुकी है।

Cure53 का काम उसके क्लाइंट्स से कहीं आगे तक सुरक्षा देता है: इसकी टीम ने DOMPurify बनाया है, जो वेब ऐप्स को XSS हमलों से बचाने वाली एक open-source लाइब्रेरी है और जिसे डेवलपर्स हर हफ़्ते करोड़ों बार डाउनलोड करते हैं। इसकी रिपोर्ट्स पर 1Password, Mullvad VPN, Proton Pass, Threema और Bitwarden की टीमें भरोसा करती हैं - ऐसे प्रोडक्ट्स, जिनका यूज़र्स से पूरा वादा ही प्राइवेसी और सुरक्षा है।

Cure53 ने Gem Wallet में क्या जांचा

Gem Wallet का ऑडिट Cure53 के चार सीनियर ऑडिटर्स ने किया: Cure53 के संस्थापक Dr.-Ing. Mario Heiderich, Dr. Alexander Pirker, Dr. Nadim Kobeissi और MSc. C. Mayr। Gem Wallet ने जुलाई 2026 में यह ऑडिट कमीशन किया, और सितंबर 2026 में ऑडिटर्स ने 13 दिनों तक Gem Wallet के संस्करण 2.114.40 का पेनिट्रेशन टेस्ट और सोर्स कोड ऑडिट किया। ऑडिट white-box तरीके से हुआ: Cure53 को सोर्स कोड तक पूरी पहुंच मिली, टीम ने उसकी समीक्षा की और iOS व Android के रिलीज़ बिल्ड्स को टेस्ट किया। बैकएंड इस ऑडिट का हिस्सा नहीं था।

ऑडिट का फ़ोकस उस Rust कोर पर था, जो दोनों ऐप्स में keys की सुरक्षा करता है:

• एन्क्रिप्टेड Keystore (v4 Keystore and UniFFI Secret Boundary): वॉलेट गुप्त डेटा को कैसे एन्क्रिप्ट, स्टोर और डिलीट करता है, और यह डेटा Rust कोर व ऐप्स के बीच कैसे आता-जाता है।
• Keys और हस्ताक्षर (Derivation, Import and Signing Primitives): secret phrase का इम्पोर्ट, अकाउंट derivation और लेनदेन पर हस्ताक्षर।
• पासवर्ड सुरक्षा (iOS/Android Password Custody): iOS और Android ऐप्स वॉलेट पासवर्ड को कैसे स्टोर और इस्तेमाल करते हैं।

Gem Wallet के ऑडिट के परिणाम

Cure53 को कोई गंभीर या उच्च स्तर की समस्या नहीं मिली। 21 समस्याओं में से 17 पहले ही ठीक कर दी गई हैं या उनका जोखिम कम कर दिया गया है, जिनमें मध्यम स्तर की सभी समस्याएँ शामिल हैं, और Cure53 ने फ़ॉलो-अप समीक्षा में हर सुधार की पुष्टि की:

• गंभीर - 0
• उच्च - 0
• मध्यम - 6 (सभी ठीक की गईं या जोखिम कम किया गया)
• निम्न - 10 (8 ठीक की गईं)
• सूचनात्मक - 5 (3 ठीक की गईं)

मध्यम स्तर की समस्याएँ खुद डिवाइस पर ऑथराइज़ेशन से जुड़ी थीं: उदाहरण के लिए, ऐप लॉक डिफ़ॉल्ट रूप से चालू नहीं था, और रूट किए गए Android फ़ोन पर पासकोड की जांच को बायपास किया जा सकता था। इनमें से हर समस्या के लिए ज़रूरी था कि अनलॉक या रूट किया गया फ़ोन हमलावर के हाथ में हो, या उपयोगकर्ता ने खुद कोई दुर्भावनापूर्ण ऐप इंस्टॉल किया हो। बाकी 4 खुले बिंदु सुरक्षा को और मज़बूत करने के कम गंभीरता वाले या सूचनात्मक सुझाव हैं।

Gem Wallet आपकी keys की सुरक्षा कैसे करता है

Cure53 ने वॉलेट के गुप्त डेटा को शुरू से अंत तक ट्रेस किया - इम्पोर्ट, एन्क्रिप्टेड स्टोरेज, अकाउंट derivation, हस्ताक्षर, एक्सपोर्ट और डिलीट होने तक - और इसकी बुनियाद की पुष्टि की:

• दोनों ऐप्स के लिए एक Rust कोर: iOS (Swift) और Android (Kotlin) ऐप्स एक ही Rust कोर इस्तेमाल करते हैं। रोज़मर्रा के हस्ताक्षर में डिक्रिप्ट की गई private keys Rust के अंदर ही रहती हैं, और ऐप्स को सिर्फ़ हस्ताक्षरित लेनदेन मिलता है।
• स्टोरेज में मज़बूत एन्क्रिप्शन: हर गुप्त डेटा AES-256-GCM से एन्क्रिप्ट होता है, जिसकी key Argon2id से derive की जाती है, और फ़ाइल हेडर भी प्रमाणित किया जाता है। Cure53 ने पाया कि Argon2id पैरामीटर मौजूदा सिफ़ारिशों के अनुरूप हैं और nonce का दोबारा इस्तेमाल नहीं होता।
• सुरक्षित पासवर्ड स्टोरेज: वॉलेट पासवर्ड iOS Keychain या Android Keystore में रखा जाता है।
• सुरक्षित रैंडमनेस: secret phrases, nonces और salts एक सुरक्षित रैंडम स्रोत से बनते हैं।
• 56 चेन पर एड्रेस की जांच: derivation टेस्ट तय अपेक्षित एड्रेस का इस्तेमाल करते हैं, और secret phrase इस्तेमाल करने वाली सभी 56 चेन के एड्रेस मेल खाए।

Cure53 ऑडिट के बाद Gem Wallet के सुधार

ज़्यादातर सुधार ऐप लॉक को और मज़बूत बनाते हैं। अब वॉलेट बनाते या इम्पोर्ट करते समय Gem Wallet ऐप लॉक चालू करने का सुझाव देता है, और ऐप लॉक चालू होने पर वॉलेट डिलीट करने के लिए पासकोड या बायोमेट्रिक्स मांगे जाते हैं। Android पर वॉलेट पासवर्ड अब हमेशा Android Keystore key से सुरक्षित रहता है, और ऐप लॉक चालू होने पर इस key के लिए डिवाइस PIN या बायोमेट्रिक्स ज़रूरी होते हैं, जिससे रूट किए गए फ़ोन पर Cure53 को मिले बायपास बंद हो जाते हैं।

हमने ऐप्स को भी और मज़बूत किया है। Android पर DApps अब एक सत्यापित gemwallet.com लिंक के ज़रिए Gem पर लौटते हैं, जिस पर कोई दूसरा ऐप दावा नहीं कर सकता। iOS पर secret phrase और private key स्क्रीनशॉट, स्क्रीन रिकॉर्डिंग और ऐप स्विचर में छिपी रहती हैं। Rust कोर में secret phrases और derive की गई keys अब इस्तेमाल के तुरंत बाद मेमोरी से मिटा दी जाती हैं। ये सभी सुधार Gem Wallet के संस्करण 2.114.73 और उसके बाद के संस्करणों में उपलब्ध हैं।

यह हमारे उपयोगकर्ताओं के लिए क्यों मायने रखता है

Gem Wallet एक 100% open-source self-custody वॉलेट है: private keys सिर्फ़ आपके डिवाइस पर स्टोर होती हैं, और हमारी टीम समेत किसी की भी उन तक पहुंच नहीं है। पूरा कोड GitHub पर खुला है, इसलिए कोई भी ऑडिट किया गया संस्करण और उसके बाद हुए सुधार देख सकता है।

Open-source कोड दिखाता है कि वॉलेट कैसे बना है, और स्वतंत्र ऑडिट वॉलेट की सुरक्षा की पुष्टि करता है। दोनों मिलकर हमारे उपयोगकर्ताओं को वह देते हैं जो सबसे ज़्यादा मायने रखता है - यह भरोसा कि उनकी क्रिप्टो सिर्फ़ उनके नियंत्रण में रहती है।

Cure53 ऑडिट रिपोर्ट (PDF)

📄 Gem Wallet Cure53 ऑडिट रिपोर्ट (PDF)

📄 Gem Wallet Cure53 ऑडिट सारांश (PDF)

अब Gem Wallet के पीछे दो स्वतंत्र ऑडिट हैं - अप्रैल 2026 में CertiK और अक्टूबर 2026 में Cure53 - और हम आगे भी अपने कोड की समीक्षा के लिए स्वतंत्र ऑडिटर्स को आमंत्रित करते रहेंगे। ऑडिट के बाद के सभी सुधार पाने के लिए Gem Wallet को नवीनतम संस्करण में अपडेट करें - और 24/7 अपनी क्रिप्टो को सुरक्षित और निजी तरीके से मैनेज करें।

अस्वीकरण: यह लेख केवल जानकारी और शिक्षा के उद्देश्य से है, यह वित्तीय या निवेश सलाह नहीं है। क्रिप्टो एसेट्स बहुत अस्थिर होते हैं और आप निवेश की गई पूरी राशि खो सकते हैं। खुद रिसर्च करें और अपने जोखिम पर फ़ैसले लें।