Gem Wallet ने Cure53 सुरक्षा ऑडिट पूरा किया

Gem Wallet ने Cure53 की गहन सुरक्षा समीक्षा पास कर ली है: वॉलेट के Rust कोर और इसके iOS व Android ऐप्स में कोई गंभीर या उच्च स्तर की समस्या नहीं मिली, और मध्यम स्तर की हर समस्या ठीक कर दी गई है या उसका जोखिम कम कर दिया गया है। अंतिम रिपोर्ट 21 अक्टूबर, 2026 की है। हमारे उपयोगकर्ताओं के लिए यह Gem Wallet में बेफ़िक्र होकर क्रिप्टो स्टोर करने, भेजने और स्वैप करने की एक और वजह है।

Cure53 क्या है?

Cure53 बर्लिन की एक कंपनी है, जो 2007 से ऐप्लिकेशन सुरक्षा ऑडिट में विशेषज्ञ है। इसकी टीम में 30 स्वतंत्र विशेषज्ञ हैं, और कंपनी अपनी वेबसाइट पर 130 से ज़्यादा ऑडिट रिपोर्ट प्रकाशित कर चुकी है।

Cure53 सिर्फ़ ऑडिट के लिए ही नहीं जानी जाती: इसकी टीम ने DOMPurify बनाया है, जो वेब ऐप्लिकेशन को XSS हमलों से बचाने वाला एक open-source टूल है। जिन प्रोजेक्ट्स का इसने ऑडिट किया है, उनमें 1Password, Mullvad VPN, Proton Pass और Threema शामिल हैं।

Cure53 ने Gem Wallet में क्या जांचा

सितंबर 2026 में Cure53 के चार सीनियर टेस्टर्स की टीम ने 13 दिनों तक Gem Wallet के संस्करण 2.114.40 का पेनिट्रेशन टेस्ट और सोर्स कोड ऑडिट किया। ऑडिट white-box तरीके से हुआ: Cure53 को सोर्स कोड तक पूरी पहुंच मिली, टीम ने उसकी समीक्षा की और iOS व Android के रिलीज़ बिल्ड्स को टेस्ट किया। बैकएंड इस ऑडिट का हिस्सा नहीं था।

ऑडिट का फ़ोकस उस Rust कोर पर था, जो दोनों ऐप्स में keys की सुरक्षा करता है:

• एन्क्रिप्टेड Keystore: वॉलेट गुप्त डेटा को कैसे एन्क्रिप्ट, स्टोर और डिलीट करता है, और यह डेटा Rust कोर व ऐप्स के बीच कैसे आता-जाता है।
• Keys और हस्ताक्षर: secret phrase का इम्पोर्ट, अकाउंट derivation और लेनदेन पर हस्ताक्षर।
• पासवर्ड सुरक्षा: iOS और Android ऐप्स वॉलेट पासवर्ड को कैसे स्टोर और इस्तेमाल करते हैं।

Gem Wallet के ऑडिट के परिणाम

Cure53 को कोई गंभीर या उच्च स्तर की समस्या नहीं मिली। 21 समस्याओं में से 17 पहले ही ठीक कर दी गई हैं या उनका जोखिम कम कर दिया गया है, जिनमें मध्यम स्तर की सभी समस्याएँ शामिल हैं, और Cure53 ने फ़ॉलो-अप समीक्षा में हर सुधार की पुष्टि की:

• गंभीर - 0
• उच्च - 0
• मध्यम - 6 (सभी ठीक की गईं या जोखिम कम किया गया)
• निम्न - 10 (8 ठीक की गईं)
• सूचनात्मक - 5 (3 ठीक की गईं)

मध्यम स्तर की समस्याएँ खुद डिवाइस पर ऑथराइज़ेशन से जुड़ी थीं: उदाहरण के लिए, ऐप लॉक डिफ़ॉल्ट रूप से चालू नहीं था, और रूट किए गए Android फ़ोन पर पासकोड की जांच को बायपास किया जा सकता था। इनमें से हर समस्या के लिए ज़रूरी था कि अनलॉक या रूट किया गया फ़ोन हमलावर के हाथ में हो, या उपयोगकर्ता ने खुद कोई दुर्भावनापूर्ण ऐप इंस्टॉल किया हो। बाकी 4 खुले बिंदु सुरक्षा को और मज़बूत करने के कम गंभीरता वाले या सूचनात्मक सुझाव हैं।

Gem Wallet आपकी keys की सुरक्षा कैसे करता है

Cure53 ने वॉलेट के गुप्त डेटा को शुरू से अंत तक ट्रेस किया - इम्पोर्ट, एन्क्रिप्टेड स्टोरेज, अकाउंट derivation, हस्ताक्षर, एक्सपोर्ट और डिलीट होने तक - और इसकी बुनियाद की पुष्टि की:

• दोनों ऐप्स के लिए एक Rust कोर: iOS (Swift) और Android (Kotlin) ऐप्स एक ही Rust कोर इस्तेमाल करते हैं। रोज़मर्रा के हस्ताक्षर में डिक्रिप्ट की गई private keys Rust के अंदर ही रहती हैं, और ऐप्स को सिर्फ़ हस्ताक्षरित लेनदेन मिलता है।
• स्टोरेज में मज़बूत एन्क्रिप्शन: हर गुप्त डेटा AES-256-GCM से एन्क्रिप्ट होता है, जिसकी key Argon2id से derive की जाती है, और फ़ाइल हेडर भी प्रमाणित किया जाता है। Cure53 ने पाया कि Argon2id पैरामीटर मौजूदा सिफ़ारिशों के अनुरूप हैं और nonce का दोबारा इस्तेमाल नहीं होता।
• सुरक्षित पासवर्ड स्टोरेज: वॉलेट पासवर्ड iOS Keychain या Android Keystore में रखा जाता है।
• सुरक्षित रैंडमनेस: secret phrases, nonces और salts एक सुरक्षित रैंडम स्रोत से बनते हैं।
• 56 चेन पर एड्रेस की जांच: derivation टेस्ट तय अपेक्षित एड्रेस का इस्तेमाल करते हैं, और secret phrase इस्तेमाल करने वाली सभी 56 चेन के एड्रेस मेल खाए।

ऑडिट के बाद हमने क्या ठीक किया

ज़्यादातर सुधार ऐप लॉक को और मज़बूत बनाते हैं। अब वॉलेट बनाते या इम्पोर्ट करते समय Gem Wallet ऐप लॉक चालू करने का सुझाव देता है, और ऐप लॉक चालू होने पर वॉलेट डिलीट करने के लिए पासकोड या बायोमेट्रिक्स मांगे जाते हैं। Android पर वॉलेट पासवर्ड अब हमेशा Android Keystore key से सुरक्षित रहता है, और ऐप लॉक चालू होने पर इस key के लिए डिवाइस PIN या बायोमेट्रिक्स ज़रूरी होते हैं, जिससे रूट किए गए फ़ोन पर Cure53 को मिले बायपास बंद हो जाते हैं।

हमने ऐप्स को भी और मज़बूत किया है। Android पर DApps अब एक सत्यापित gemwallet.com लिंक के ज़रिए Gem पर लौटते हैं, जिस पर कोई दूसरा ऐप दावा नहीं कर सकता। iOS पर secret phrase और private key स्क्रीनशॉट, स्क्रीन रिकॉर्डिंग और ऐप स्विचर में छिपी रहती हैं। Rust कोर में secret phrases और derive की गई keys अब इस्तेमाल के तुरंत बाद मेमोरी से मिटा दी जाती हैं।

यह हमारे उपयोगकर्ताओं के लिए क्यों मायने रखता है

Gem Wallet एक 100% open-source self-custody वॉलेट है: private keys सिर्फ़ आपके डिवाइस पर स्टोर होती हैं, और हमारी टीम समेत किसी की भी उन तक पहुंच नहीं है। पूरा कोड GitHub पर खुला है, इसलिए कोई भी ऑडिट किया गया संस्करण और उसके बाद हुए सुधार देख सकता है।

Open-source कोड दिखाता है कि वॉलेट कैसे बना है, और स्वतंत्र ऑडिट वॉलेट की सुरक्षा की पुष्टि करता है। दोनों मिलकर हमारे उपयोगकर्ताओं को वह देते हैं जो सबसे ज़्यादा मायने रखता है - यह भरोसा कि उनकी क्रिप्टो सिर्फ़ उनके नियंत्रण में रहती है।

Cure53 की पूरी रिपोर्ट पढ़ें

📄 Gem Wallet Cure53 ऑडिट रिपोर्ट (PDF)

📄 Gem Wallet Cure53 ऑडिट सारांश (PDF)

अब Gem Wallet के पीछे दो स्वतंत्र ऑडिट हैं, CertiK और Cure53, और हम आगे भी अपने कोड की समीक्षा के लिए स्वतंत्र विशेषज्ञों को आमंत्रित करते रहेंगे। ऑडिट के बाद के सभी सुधार पाने के लिए Gem Wallet को नवीनतम संस्करण में अपडेट करें - और 24/7 अपनी क्रिप्टो को सुरक्षित और निजी तरीके से मैनेज करें।

अस्वीकरण: यह लेख केवल जानकारी और शिक्षा के उद्देश्य से है, यह वित्तीय या निवेश सलाह नहीं है। क्रिप्टो एसेट्स बहुत अस्थिर होते हैं और आप निवेश की गई पूरी राशि खो सकते हैं। खुद रिसर्च करें और अपने जोखिम पर फ़ैसले लें।