Table of Contents
Gem Wallet telah lulus tinjauan keamanan mendalam dari Cure53: tidak ada masalah kritis atau tingkat tinggi yang ditemukan di core Rust dompet maupun di aplikasi iOS dan Android-nya, dan setiap temuan tingkat sedang telah diperbaiki atau dimitigasi. Laporan akhirnya bertanggal 21 Oktober 2026. Bagi pengguna kami, ini satu alasan lagi untuk menyimpan, mengirim, dan swap crypto di Gem Wallet dengan tenang.
Apa itu Cure53?
Cure53 adalah perusahaan asal Berlin yang berspesialisasi dalam audit keamanan aplikasi sejak 2007. Timnya menghimpun 30 pakar independen, dan perusahaan ini telah menerbitkan lebih dari 130 laporan audit di situs webnya.
Cure53 dikenal bukan hanya karena audit: tim ini menciptakan DOMPurify, alat open-source yang melindungi aplikasi web dari serangan XSS. Proyek yang pernah diaudit Cure53 antara lain 1Password, Mullvad VPN, Proton Pass, dan Threema.
Apa yang ditinjau Cure53 di Gem Wallet
Pada September 2026, tim berisi empat penguji senior Cure53 menghabiskan 13 hari untuk uji penetrasi dan audit kode sumber Gem Wallet versi 2.114.40. Audit ini menggunakan pendekatan white-box: Cure53 memiliki akses penuh ke kode sumber, meninjaunya, dan menguji build rilis iOS dan Android. Backend tidak termasuk dalam audit ini.
Audit ini berfokus pada core Rust yang melindungi kunci Anda di kedua aplikasi:
- Keystore terenkripsi: Cara dompet mengenkripsi, menyimpan, dan menghapus data rahasia, serta cara data tersebut berpindah antara core Rust dan aplikasi.
- Kunci dan penandatanganan: Impor secret phrase, derivasi akun, dan penandatanganan transaksi.
- Perlindungan kata sandi: Cara aplikasi iOS dan Android menyimpan dan menggunakan kata sandi dompet.
Hasil audit Gem Wallet
Cure53 tidak menemukan masalah kritis atau tingkat tinggi. Dari 21 temuan, 17 sudah diperbaiki atau dimitigasi, termasuk semua temuan tingkat sedang, dan Cure53 mengonfirmasi setiap perbaikan dalam tinjauan lanjutan:
- Kritis - 0
- Tinggi - 0
- Sedang - 6 (semua diperbaiki atau dimitigasi)
- Rendah - 10 (8 diperbaiki)
- Informasional - 5 (3 diperbaiki)
Temuan tingkat sedang berkaitan dengan otorisasi di perangkat itu sendiri: misalnya, kunci aplikasi tidak aktif secara default, dan di ponsel Android yang di-root, pemeriksaan kode sandi bisa dilewati. Setiap temuan tersebut membutuhkan ponsel yang tidak terkunci atau sudah di-root di tangan penyerang, atau aplikasi berbahaya yang dipasang oleh pengguna. Empat item yang masih terbuka adalah saran penguatan dengan tingkat keparahan rendah atau bersifat informasional.
Cara Gem Wallet melindungi kunci Anda
Cure53 menelusuri data rahasia dompet dari awal hingga akhir - impor, penyimpanan terenkripsi, derivasi akun, penandatanganan, ekspor, dan penghapusan - dan mengonfirmasi fondasinya:
- Satu core Rust untuk kedua aplikasi: Aplikasi iOS (Swift) dan Android (Kotlin) menggunakan core Rust yang sama. Saat penandatanganan sehari-hari, private key yang sudah didekripsi tetap berada di dalam Rust; aplikasi hanya menerima transaksi yang sudah ditandatangani.
- Enkripsi kuat saat disimpan: Setiap data rahasia dienkripsi dengan AES-256-GCM menggunakan kunci yang diturunkan dengan Argon2id, dan header file juga diautentikasi. Cure53 menilai parameter Argon2id sesuai dengan rekomendasi terkini dan tidak menemukan penggunaan ulang nonce.
- Penyimpanan kata sandi yang terlindungi: Kata sandi dompet disimpan di iOS Keychain atau Android Keystore.
- Keacakan yang aman: Secret phrase, nonce, dan salt berasal dari sumber acak yang aman.
- Pemeriksaan alamat di 56 jaringan: Tes derivasi menggunakan alamat acuan yang tetap, dan alamat di semua 56 jaringan yang menggunakan secret phrase cocok.
Apa yang kami perbaiki setelah audit
Sebagian besar perbaikan membuat kunci aplikasi lebih kuat. Kini Gem Wallet menawarkan untuk mengaktifkannya saat Anda membuat atau mengimpor dompet, dan saat kunci aplikasi aktif, menghapus dompet memerlukan kode sandi atau biometrik Anda. Di Android, kata sandi dompet kini selalu dilindungi oleh kunci Android Keystore, dan saat kunci aplikasi aktif, kunci tersebut memerlukan PIN atau biometrik perangkat Anda, sehingga celah yang ditemukan Cure53 di ponsel yang di-root tertutup.
Kami juga memperkuat aplikasinya sendiri. Di Android, DApp kini kembali ke Gem melalui link gemwallet.com terverifikasi yang tidak bisa diklaim aplikasi lain. Di iOS, secret phrase dan private key Anda disembunyikan dari screenshot, rekaman layar, dan pengalih aplikasi. Di core Rust, secret phrase dan kunci turunan kini dihapus dari memori segera setelah digunakan.
Mengapa ini penting bagi pengguna kami
Gem Wallet adalah dompet dengan kelola aset sendiri yang 100% open-source: private key Anda hanya disimpan di perangkat Anda, dan tidak ada seorang pun, termasuk tim kami, yang memiliki akses ke sana. Seluruh kode terbuka di GitHub, sehingga siapa pun bisa meninjau versi yang diaudit beserta perbaikan sesudahnya.
Kode open-source menunjukkan bagaimana dompet dibangun, dan audit independen mengonfirmasi keamanan dompet. Bersama-sama, keduanya memberi pengguna kami hal yang paling penting - keyakinan bahwa crypto mereka tetap hanya di bawah kendali mereka sendiri.
Baca laporan lengkap Cure53
📄 Laporan audit Cure53 Gem Wallet (PDF)
📄 Ringkasan audit Cure53 Gem Wallet (PDF)
Kini dua audit independen, CertiK dan Cure53, berdiri di belakang Gem Wallet, dan kami akan terus mengundang pakar independen untuk meninjau kode kami. Perbarui Gem Wallet ke versi terbaru untuk mendapatkan semua perbaikan pascaaudit - dan kelola crypto Anda secara aman dan privat 24/7.
Disclaimer: artikel ini hanya untuk tujuan informasi dan edukasi, bukan saran keuangan atau investasi. Aset kripto sangat volatil dan Anda bisa kehilangan seluruh uang yang diinvestasikan. Lakukan riset sendiri dan ambil keputusan dengan risiko Anda sendiri.
