Gem WalletがCure53のセキュリティ監査を完了

Gem WalletはCure53による綿密なセキュリティレビューに合格し、ウォレットのRustコアとiOS・Androidアプリではクリティカルや高リスクの問題が見つからず、深刻度が中の指摘もすべて修正または緩和されました。最終レポートの日付は2026年10月21日です。ユーザーの皆さまにとっては、Gem Walletで安心して仮想通貨を保管・送金・スワップできる理由がまた1つ増えました。

Cure53とは？

Cure53は、2007年からアプリケーションのセキュリティ監査を専門としているベルリンの企業です。チームには30人の独立した専門家が集まっており、同社はこれまでに130件を超える監査レポートをウェブサイトで公開しています。

Cure53は監査以外の活動でも知られており、WebアプリケーションをXSS攻撃から守るオープンソースツール、DOMPurifyを開発したのも同社のチームです。これまでに監査したプロジェクトには、1Password、Mullvad VPN、Proton Pass、Threemaなどがあります。

Cure53がGem Walletで検証した内容

2026年9月、Cure53のシニアテスター4人のチームが13日間をかけて、Gem Walletバージョン2.114.40のペネトレーションテストとソースコード監査を行いました。監査はホワイトボックス方式で、Cure53はソースコードへの完全なアクセス権を持ってコードをレビューし、iOSとAndroidのリリースビルドをテストしました。バックエンドは今回の監査の対象外です。

監査の重点は、両方のアプリで鍵を守るRustコアに置かれました。

• 暗号化されたキーストア：ウォレットが秘密情報を暗号化・保存・削除する方法と、秘密情報がRustコアとアプリの間で受け渡される仕組み。
• 鍵と署名：シークレットフレーズのインポート、アカウントの導出、取引の署名。
• パスワード保護：iOSとAndroidのアプリがウォレットのパスワードを保存・使用する方法。

Gem Walletの監査結果

Cure53はクリティカルや高リスクの問題を発見しませんでした。21件の指摘のうち、深刻度が中のものをすべて含む17件はすでに修正または緩和されており、Cure53はフォローアップレビューでそれぞれの修正を確認しました。

• クリティカル：0件
• 高：0件
• 中：6件（すべて修正または緩和済み）
• 低：10件（8件修正済み）
• 参考情報：5件（3件修正済み）

深刻度が中の指摘は端末自体での認可に関するもので、たとえばアプリロックがデフォルトで有効になっておらず、root化されたAndroidスマートフォンではパスコードのチェックを回避できました。いずれも、ロックが解除された、またはroot化されたスマートフォンが攻撃者の手にあるか、ユーザーが悪意のあるアプリをインストールしていることが前提でした。未解決の4件は、深刻度が低い、または参考情報レベルの堅牢化の提案です。

Gem Walletが鍵を守る仕組み

Cure53は、インポート、暗号化された保存、アカウントの導出、署名、エクスポート、削除まで、ウォレットの秘密情報の流れを最初から最後まで追跡し、その基盤を確認しました。

• 両アプリで共通のRustコア：iOS（Swift）とAndroid（Kotlin）のアプリは同じRustコアを共有しています。日常の署名では復号された秘密鍵がRustの内部にとどまり、アプリが受け取るのは署名済みの取引だけです。
• 保存データの強力な暗号化：各秘密情報はArgon2idで導出した鍵を使ってAES-256-GCMで暗号化され、ファイルヘッダーも認証されます。Cure53は、Argon2idのパラメーターが現在の推奨に沿っており、nonceの再利用もないことを確認しました。
• 保護されたパスワード保存：ウォレットのパスワードはiOS KeychainまたはAndroid Keystoreに保管されます。
• 安全な乱数：シークレットフレーズ、nonce、ソルトは安全な乱数源から生成されます。
• 56のチェーンでのアドレスチェック：導出テストでは固定の期待アドレスを使用しており、シークレットフレーズを使う56のチェーンすべてで結果が一致しました。

監査後に修正した内容

修正の大半はアプリロックを強化するものです。Gem Walletはウォレットの作成時やインポート時にアプリロックの有効化を提案するようになり、アプリロックがオンの場合、ウォレットの削除にはパスコードまたは生体認証が求められます。Androidでは、ウォレットのパスワードが常にAndroid Keystoreの鍵で保護されるようになり、アプリロックがオンの場合はその鍵の利用に端末のPINまたは生体認証が必要になるため、Cure53がroot化されたスマートフォンで見つけた回避手段はふさがれました。

アプリそのものも強化しました。Androidでは、DAppがほかのアプリには横取りできない検証済みのgemwallet.comリンクを通じてGemに戻るようになりました。iOSでは、シークレットフレーズと秘密鍵がスクリーンショット、画面収録、アプリスイッチャーに表示されなくなりました。Rustコアでは、シークレットフレーズと導出された鍵が使用直後にメモリから消去されるようになりました。

ユーザーにとって重要な理由

Gem Walletは100%オープンソースのセルフカストディウォレットで、秘密鍵はお使いの端末にのみ保存され、私たちのチームを含め誰もアクセスできません。すべてのコードはGitHubで公開されているため、監査済みのバージョンとその後の修正は誰でも確認できます。

オープンソースのコードはウォレットの作りを示し、独立した監査はウォレットのセキュリティを裏付けます。この2つがそろうことで、ユーザーは最も大切なもの、つまり仮想通貨が自分だけの管理下にあるという確信を得られます。

Cure53の完全なレポートを読む

📄 Gem WalletのCure53監査レポート（PDF）

📄 Gem WalletのCure53監査サマリー（PDF）

Gem Walletを裏付ける独立した監査はCertiKとCure53の2つになり、今後も独立した専門家にコードのレビューを依頼していきます。監査後のすべての修正を反映させるためにGem Walletを最新バージョンにアップデートして、24時間365日、安全かつプライベートに仮想通貨を管理しましょう。

免責事項： この記事は情報提供と教育のみを目的としており、金融・投資の助言ではありません。暗号資産は価格変動が非常に大きく、投資した資金をすべて失う可能性があります。ご自身で調べたうえで、自己責任で判断してください。