Table of Contents
Gem Wallet ha superato un’approfondita verifica di sicurezza di Cure53: nel core Rust del portafoglio e nelle sue app iOS e Android non sono emersi problemi critici o gravi, e tutti i rilievi di gravità media sono stati corretti o mitigati. Il report finale è datato 21 ottobre 2026. Per i nostri utenti è un motivo in più per conservare, inviare e scambiare crypto in Gem Wallet in tutta tranquillità.
Cos’è Cure53?
Cure53 è una società con sede a Berlino specializzata dal 2007 in audit di sicurezza delle applicazioni. Il suo team riunisce 30 esperti indipendenti, e sul proprio sito l’azienda ha pubblicato oltre 130 report di audit.
Cure53 non è nota solo per gli audit: il team ha creato DOMPurify, uno strumento open-source che protegge le applicazioni web dagli attacchi XSS. Tra i progetti che ha sottoposto ad audit figurano 1Password, Mullvad VPN, Proton Pass e Threema.
Cosa ha verificato Cure53 in Gem Wallet
A settembre 2026 un team di quattro tester senior di Cure53 ha dedicato 13 giorni a un penetration test e a un audit del codice sorgente di Gem Wallet versione 2.114.40. L’audit ha seguito un approccio white-box: Cure53 aveva pieno accesso al codice sorgente, lo ha esaminato e ha testato le build di rilascio per iOS e Android. Il backend non rientrava in questo audit.
L’audit si è concentrato sul core Rust che protegge le chiavi in entrambe le app:
- Keystore crittografato: come il portafoglio crittografa, conserva ed elimina i segreti, e come questi passano tra il core Rust e le app.
- Chiavi e firma: importazione della frase segreta, derivazione degli account e firma delle transazioni.
- Protezione della password: come le app iOS e Android conservano e usano la password del portafoglio.
Risultati dell’audit di Gem Wallet
Cure53 non ha trovato problemi critici o gravi. Dei 21 rilievi, 17 sono già stati corretti o mitigati, compresi tutti quelli di gravità media, e Cure53 ha confermato ogni correzione in una verifica successiva:
- Critici - 0
- Gravi - 0
- Medi - 6 (tutti corretti o mitigati)
- Bassi - 10 (8 corretti)
- Informativi - 5 (3 corretti)
I rilievi di gravità media riguardavano l’autorizzazione sul dispositivo stesso: ad esempio, il blocco dell’app non era attivo per impostazione predefinita e, su un telefono Android con root, il controllo del codice PIN poteva essere aggirato. Ognuno di essi richiedeva un telefono sbloccato o con root nelle mani di un malintenzionato, oppure un’app dannosa installata dall’utente. I quattro punti ancora aperti sono suggerimenti di rafforzamento di gravità bassa o informativi.
Come Gem Wallet protegge le tue chiavi
Cure53 ha seguito i segreti del portafoglio dall’inizio alla fine - importazione, archiviazione crittografata, derivazione degli account, firma, esportazione ed eliminazione - e ne ha confermato le basi:
- Un unico core Rust per entrambe le app: le app iOS (Swift) e Android (Kotlin) condividono lo stesso core Rust. Nella firma di tutti i giorni le chiavi private decrittografate restano dentro Rust, e le app ricevono solo la transazione firmata.
- Crittografia robusta dei dati archiviati: ogni segreto è crittografato con AES-256-GCM tramite una chiave derivata con Argon2id, e anche l’intestazione del file è autenticata. Secondo Cure53, i parametri di Argon2id sono in linea con le raccomandazioni attuali e non c’è alcun riutilizzo del nonce.
- Archiviazione protetta della password: la password del portafoglio è custodita nell’iOS Keychain o nell’Android Keystore.
- Casualità sicura: frasi segrete, nonce e salt provengono da una fonte casuale sicura.
- Verifica degli indirizzi su 56 reti: i test di derivazione usano indirizzi attesi fissi, e su tutte le 56 reti che usano una frase segreta gli indirizzi sono risultati corrispondenti.
Cosa abbiamo corretto dopo l’audit
La maggior parte delle correzioni rafforza il blocco dell’app. Ora Gem Wallet propone di attivarlo quando crei o importi un portafoglio e, con il blocco dell’app attivo, per eliminare un portafoglio servono il codice PIN o la biometria. Su Android la password del portafoglio è ora sempre protetta da una chiave dell’Android Keystore e, con il blocco dell’app attivo, questa chiave richiede il PIN del dispositivo o la biometria: così si chiudono gli aggiramenti che Cure53 aveva trovato sui telefoni con root.
Abbiamo rafforzato anche le app stesse. Su Android le DApp ora tornano a Gem tramite un link gemwallet.com verificato che nessun’altra app può rivendicare. Su iOS la frase segreta e la chiave privata non compaiono negli screenshot, nelle registrazioni dello schermo e nel selettore app. Nel core Rust, frasi segrete e chiavi derivate vengono ora cancellate dalla memoria subito dopo l’uso.
Perché è importante per i nostri utenti
Gem Wallet è un portafoglio in autocustodia 100% open-source: le chiavi private sono conservate solo sul tuo dispositivo e nessuno, nemmeno il nostro team, può accedervi. Tutto il codice è pubblico su GitHub, quindi chiunque può esaminare la versione sottoposta ad audit e le correzioni arrivate dopo.
Il codice open-source mostra come è costruito il portafoglio, e un audit indipendente ne conferma la sicurezza. Insieme danno ai nostri utenti ciò che conta di più: la certezza che le loro crypto restano sotto il loro esclusivo controllo.
Leggi il report completo di Cure53
📄 Report dell’audit di Cure53 su Gem Wallet (PDF)
📄 Sintesi dell’audit di Cure53 su Gem Wallet (PDF)
Ora Gem Wallet ha alle spalle due audit indipendenti, CertiK e Cure53, e continueremo a invitare esperti indipendenti a esaminare il nostro codice. Aggiorna Gem Wallet all’ultima versione per avere tutte le correzioni successive all’audit - e gestisci le tue crypto in modo sicuro e privato 24/7.
Avvertenza: questo articolo ha scopo esclusivamente informativo ed educativo e non costituisce consulenza finanziaria o di investimento. Le cripto-attività sono molto volatili e puoi perdere tutto il denaro investito. Informati in autonomia e prendi le tue decisioni a tuo rischio.
