Table of Contents
Gem Wallet прошел углубленную проверку безопасности Cure53: ни в ядре кошелька на Rust, ни в приложениях для iOS и Android не найдено проблем критического или высокого уровня, а все замечания среднего уровня исправлены или смягчены. Итоговый отчет датирован 21 октября 2026 года. Для наших пользователей это еще один повод спокойно хранить, отправлять и обменивать криптовалюту в Gem Wallet.
Что такое Cure53?
Cure53 - берлинская компания, которая с 2007 года специализируется на аудитах безопасности приложений. В команде - 30 независимых экспертов, а на сайте компании опубликовано более 130 отчетов о проверках.
Cure53 известна не только аудитами: команда создала DOMPurify - инструмент с открытым исходным кодом для защиты веб-приложений от XSS-атак. Среди проектов, которые она проверяла, - 1Password, Mullvad VPN, Proton Pass и Threema.
Что проверила Cure53 в Gem Wallet
В сентябре 2026 года команда из четырех старших тестировщиков Cure53 за 13 дней провела тест на проникновение и аудит исходного кода Gem Wallet версии 2.114.40. Аудит шел по методу белого ящика: у Cure53 был полный доступ к исходному коду, эксперты изучили его и протестировали релизные сборки для iOS и Android. Бэкенд в этот аудит не входил.
В центре внимания было ядро на Rust, которое защищает ключи в обоих приложениях:
- Зашифрованное хранилище ключей: как кошелек шифрует, хранит и удаляет секреты и как они передаются между ядром на Rust и приложениями.
- Ключи и подпись: импорт секретной фразы, деривация аккаунтов и подписание транзакций.
- Защита паролем: как приложения для iOS и Android хранят и используют пароль кошелька.
Результаты аудита Gem Wallet
Cure53 не нашла проблем критического или высокого уровня. Из 21 замечания 17 уже исправлены или смягчены, включая все замечания среднего уровня, и каждое исправление Cure53 подтвердила при повторной проверке:
- Критические - 0
- Высокие - 0
- Средние - 6 (все исправлены или смягчены)
- Низкие - 10 (8 исправлено)
- Информационные - 5 (3 исправлено)
Замечания среднего уровня касались авторизации на самом устройстве: например, блокировка приложения не была включена по умолчанию, а на Android-телефоне с root-правами можно было обойти проверку PIN-кода. Для каждого из них злоумышленнику нужен был разблокированный телефон или телефон с root-правами в руках либо вредоносное приложение, которое пользователь установил сам. Четыре открытых пункта - это рекомендации по усилению защиты с низким уровнем важности или информационного характера.
Как Gem Wallet защищает ваши ключи
Cure53 проследила путь секретов кошелька от начала до конца - импорт, зашифрованное хранение, деривацию аккаунтов, подписание, экспорт и удаление - и подтвердила основы защиты:
- Одно ядро на Rust для обоих приложений: приложения для iOS (Swift) и Android (Kotlin) работают на общем ядре на Rust. При обычном подписании расшифрованные приватные ключи остаются внутри Rust, а приложения получают только подписанную транзакцию.
- Надежное шифрование при хранении: каждый секрет шифруется AES-256-GCM ключом, полученным через Argon2id, а заголовок файла тоже проходит аутентификацию. Cure53 признала параметры Argon2id соответствующими актуальным рекомендациям и не нашла повторного использования nonce.
- Защищенное хранение пароля: пароль кошелька хранится в iOS Keychain или Android Keystore.
- Надежная случайность: секретные фразы, nonce и соли берутся из безопасного источника случайных чисел.
- Проверка адресов в 56 сетях: тесты деривации сверяются с заранее заданными ожидаемыми адресами, и во всех 56 сетях, где используется секретная фраза, адреса совпали.
Что мы исправили после аудита
Большинство исправлений делают блокировку приложения надежнее. Теперь Gem Wallet предлагает включить ее при создании или импорте кошелька, а если блокировка включена, для удаления кошелька нужен PIN-код или биометрия. На Android пароль кошелька теперь всегда защищен ключом Android Keystore, а при включенной блокировке приложения этот ключ требует PIN-код устройства или биометрию - так закрыты способы обхода, которые Cure53 нашла на телефонах с root-правами.
Мы также усилили защиту самих приложений. На Android dApps теперь возвращаются в Gem через проверенную ссылку gemwallet.com, которую не может перехватить никакое другое приложение. На iOS секретная фраза и приватный ключ скрыты от скриншотов, записи экрана и переключателя приложений. В ядре на Rust секретные фразы и производные ключи теперь стираются из памяти сразу после использования.
Почему это важно для наших пользователей
Gem Wallet - это некастодиальный кошелек со 100% открытым исходным кодом: приватные ключи хранятся только на вашем устройстве, и ни у кого, включая нашу команду, нет к ним доступа. Весь код открыт на GitHub, поэтому любой может проверить версию, прошедшую аудит, и исправления, которые вышли после него.
Открытый код показывает, как устроен кошелек, а независимый аудит подтверждает его безопасность. Вместе они дают нашим пользователям главное - уверенность, что их криптовалюта под контролем только у них.
Читать полный отчет Cure53
📄 Отчет Cure53 по аудиту Gem Wallet (PDF)
📄 Краткий отчет Cure53 по аудиту Gem Wallet (PDF)
Теперь за Gem Wallet стоят два независимых аудита - CertiK и Cure53, и мы продолжим приглашать независимых экспертов проверять наш код. Обновите Gem Wallet до последней версии, чтобы получить все исправления после аудита, - и управляйте криптовалютой безопасно и приватно 24/7.
Дисклеймер: статья носит информационный и образовательный характер и не является финансовой или инвестиционной рекомендацией. Криптоактивы очень волатильны, вложенные деньги можно потерять полностью. Изучайте вопрос самостоятельно и принимайте решения на свой риск.
