Gem Wallet przechodzi audyt bezpieczeństwa Cure53

Gem Wallet przeszedł dogłębny audyt bezpieczeństwa Cure53: ani w rdzeniu portfela w Rust, ani w aplikacjach na iOS i Androida nie wykryto problemów o krytycznym lub wysokim poziomie istotności, a wszystkie ustalenia o średnim poziomie zostały naprawione lub złagodzone. Raport końcowy jest datowany na 21 października 2026 roku. Dla naszych użytkowników to kolejny powód, by spokojnie przechowywać, wysyłać i wymieniać kryptowaluty w Gem Wallet.

Czym jest Cure53?

Cure53 to berlińska firma zajmująca się cyberbezpieczeństwem, która od 2007 roku prowadzi testy penetracyjne oraz audyty kodu, infrastruktury i kryptografii. Jej założycielem jest Mario Heiderich, który ma doktorat z nauk inżynieryjnych z zakresu bezpieczeństwa webowego, a wśród 30 niezależnych badaczy bezpieczeństwa firmy są doktorzy nauk inżynieryjnych, kryptografii stosowanej i fizyki. Na swojej stronie Cure53 opublikowała ponad 130 raportów z audytów.

Praca Cure53 chroni znacznie więcej osób niż tylko jej klientów: zespół stworzył DOMPurify - bibliotekę open source, która zabezpiecza aplikacje webowe przed atakami XSS i którą programiści pobierają dziesiątki milionów razy w tygodniu. Raportom firmy ufają zespoły stojące za 1Password, Mullvad VPN, Proton Pass, Threema i Bitwarden - produktami, których cała obietnica wobec użytkowników to prywatność i bezpieczeństwo.

Co Cure53 sprawdziła w Gem Wallet

Audyt Gem Wallet przeprowadziło czterech starszych audytorów Cure53: założyciel Cure53 dr inż. Mario Heiderich, dr Alexander Pirker, dr Nadim Kobeissi i mgr C. Mayr. Gem Wallet zlecił audyt w lipcu 2026 roku, a we wrześniu 2026 roku audytorzy przez 13 dni prowadzili test penetracyjny i audyt kodu źródłowego Gem Wallet w wersji 2.114.40. Audyt przeprowadzono metodą white-box: Cure53 miała pełny dostęp do kodu źródłowego, przeanalizowała go i przetestowała wersje release aplikacji na iOS i Androida. Backend nie był objęty tym audytem.

Audyt skupił się na rdzeniu w Rust, który chroni Twoje klucze w obu aplikacjach:

• Zaszyfrowany magazyn kluczy (v4 Keystore and UniFFI Secret Boundary): Jak portfel szyfruje, przechowuje i usuwa sekrety oraz jak są one przekazywane między rdzeniem w Rust a aplikacjami.
• Klucze i podpisywanie (Derivation, Import and Signing Primitives): Import tajnej frazy, derywacja kont i podpisywanie transakcji.
• Ochrona hasłem (iOS/Android Password Custody): Jak aplikacje na iOS i Androida przechowują i wykorzystują hasło portfela.

Wyniki audytu Gem Wallet

Cure53 nie znalazła problemów o krytycznym ani wysokim poziomie istotności. Z 21 ustaleń 17 zostało już naprawionych lub złagodzonych, w tym wszystkie ustalenia o średnim poziomie, a każdą poprawkę Cure53 potwierdziła podczas ponownej weryfikacji:

• Krytyczne - 0
• Wysokie - 0
• Średnie - 6 (wszystkie naprawione lub złagodzone)
• Niskie - 10 (8 naprawionych)
• Informacyjne - 5 (3 naprawione)

Ustalenia o średnim poziomie dotyczyły autoryzacji na samym urządzeniu: na przykład blokada aplikacji nie była domyślnie włączona, a na zrootowanym telefonie z Androidem można było obejść sprawdzanie kodu PIN. Każde z nich wymagało odblokowanego lub zrootowanego telefonu w rękach atakującego albo złośliwej aplikacji zainstalowanej przez samego użytkownika. Cztery otwarte pozycje to sugestie wzmocnienia zabezpieczeń o niskim poziomie istotności lub o charakterze informacyjnym.

Jak Gem Wallet chroni Twoje klucze

Cure53 prześledziła drogę sekretów portfela od początku do końca - import, zaszyfrowane przechowywanie, derywację kont, podpisywanie, eksport i usuwanie - i potwierdziła fundamenty zabezpieczeń:

• Jeden rdzeń w Rust dla obu aplikacji: Aplikacje na iOS (Swift) i Androida (Kotlin) korzystają z tego samego rdzenia w Rust. Przy codziennym podpisywaniu odszyfrowane klucze prywatne pozostają wewnątrz Rust, a aplikacje otrzymują tylko podpisaną transakcję.
• Silne szyfrowanie danych w spoczynku: Każdy sekret jest szyfrowany algorytmem AES-256-GCM kluczem wyprowadzonym za pomocą Argon2id, a nagłówek pliku również jest uwierzytelniany. Cure53 uznała parametry Argon2id za zgodne z aktualnymi zaleceniami i nie wykryła ponownego użycia nonce.
• Chronione przechowywanie hasła: Hasło portfela jest przechowywane w iOS Keychain lub Android Keystore.
• Bezpieczna losowość: Tajne frazy, nonce i sole pochodzą z bezpiecznego źródła losowości.
• Sprawdzanie adresów w 56 sieciach: Testy derywacji korzystają ze stałych oczekiwanych adresów, a we wszystkich 56 sieciach korzystających z tajnej frazy adresy się zgadzały.

Poprawki w Gem Wallet po audycie Cure53

Większość poprawek wzmacnia blokadę aplikacji. Gem Wallet proponuje teraz jej włączenie podczas tworzenia lub importu portfela, a przy włączonej blokadzie usunięcie portfela wymaga kodu PIN lub biometrii. Na Androidzie hasło portfela jest teraz zawsze chronione kluczem Android Keystore, a przy włączonej blokadzie aplikacji ten klucz wymaga kodu PIN urządzenia lub biometrii, co zamyka drogi obejścia, które Cure53 wykryła na zrootowanych telefonach.

Wzmocniliśmy też same aplikacje. Na Androidzie dApps wracają teraz do Gem przez zweryfikowany link gemwallet.com, którego nie może przejąć żadna inna aplikacja. Na iOS Twoja tajna fraza i klucz prywatny są ukryte przed zrzutami ekranu, nagrywaniem ekranu i przełącznikiem aplikacji. W rdzeniu w Rust tajne frazy i wyprowadzone klucze są teraz usuwane z pamięci zaraz po użyciu. Wszystkie te poprawki są dostępne w Gem Wallet w wersji 2.114.73 i nowszych.

Dlaczego to ważne dla naszych użytkowników

Gem Wallet to niekustodialny portfel ze 100% otwartym kodem źródłowym: klucze prywatne są przechowywane wyłącznie na Twoim urządzeniu i nikt, w tym nasz zespół, nie ma do nich dostępu. Cały kod jest otwarty na GitHubie, więc każdy może sprawdzić wersję objętą audytem i późniejsze poprawki.

Otwarty kod pokazuje, jak zbudowany jest portfel, a niezależny audyt potwierdza jego bezpieczeństwo. Razem dają naszym użytkownikom to, co najważniejsze - pewność, że ich kryptowaluty pozostają wyłącznie pod ich kontrolą.

Raport z audytu Cure53 (PDF)

📄 Raport z audytu Gem Wallet przeprowadzonego przez Cure53 (PDF)

📄 Podsumowanie audytu Gem Wallet przeprowadzonego przez Cure53 (PDF)

Za Gem Wallet stoją teraz dwa niezależne audyty - CertiK w kwietniu 2026 roku i Cure53 w październiku 2026 roku - a my nadal będziemy zapraszać niezależnych audytorów do sprawdzania naszego kodu. Zaktualizuj Gem Wallet do najnowszej wersji, aby otrzymać wszystkie poprawki wprowadzone po audycie - i zarządzaj kryptowalutami bezpiecznie i prywatnie 24/7.

Zastrzeżenie: artykuł ma wyłącznie charakter informacyjny i edukacyjny i nie stanowi porady finansowej ani inwestycyjnej. Kryptoaktywa są bardzo zmienne i możesz stracić wszystkie zainwestowane pieniądze. Przeprowadź własną analizę i podejmuj decyzje na własne ryzyko.