Gem Wallet прошел аудит безопасности Cure53

Gem Wallet прошел глубокий аудит безопасности Cure53: ни в ядре кошелька на Rust, ни в приложениях для iOS и Android не найдено проблем критического или высокого уровня, а все замечания среднего уровня исправлены или смягчены. Итоговый отчет датирован 21 октября 2026 года. Для наших пользователей это еще один повод спокойно хранить, отправлять и обменивать криптовалюту в Gem Wallet.

Что такое Cure53?

Cure53 - берлинская компания по кибербезопасности, которая с 2007 года проводит тесты на проникновение и аудиты кода, инфраструктуры и криптографии. Ее основал Марио Хайдерих, доктор инженерных наук в области веб-безопасности, а среди 30 независимых исследователей безопасности компании - доктора наук в области инженерии, прикладной криптографии и физики. На сайте Cure53 опубликовано более 130 отчетов об аудитах.

Работа Cure53 защищает далеко не только ее клиентов: команда создала DOMPurify - библиотеку с открытым исходным кодом, которая защищает веб-приложения от XSS-атак и которую разработчики скачивают десятки миллионов раз каждую неделю. Отчетам Cure53 доверяют команды 1Password, Mullvad VPN, Proton Pass, Threema и Bitwarden - продуктов, главное обещание которых пользователям - приватность и безопасность.

Что проверила Cure53 в Gem Wallet

Gem Wallet проверили четыре senior-аудитора Cure53: основатель Cure53 доктор инженерных наук Марио Хайдерих, доктор Александр Пиркер, доктор Надим Кобейсси и магистр К. Майр. Gem Wallet заказал аудит в июле 2026 года, а в сентябре аудиторы за 13 дней провели тест на проникновение и аудит исходного кода Gem Wallet версии 2.114.40. Аудит шел по методу белого ящика: у Cure53 был полный доступ к исходному коду, аудиторы изучили его и протестировали релизные сборки для iOS и Android. Бэкенд в этот аудит не входил.

В центре внимания было ядро на Rust, которое защищает ключи в обоих приложениях:

• Зашифрованное хранилище ключей (v4 Keystore and UniFFI Secret Boundary): как кошелек шифрует, хранит и удаляет секреты и как они передаются между ядром на Rust и приложениями.
• Ключи и подпись (Derivation, Import and Signing Primitives): импорт секретной фразы, деривация аккаунтов и подписание транзакций.
• Защита паролем (iOS/Android Password Custody): как приложения для iOS и Android хранят и используют пароль кошелька.

Результаты аудита Gem Wallet

Cure53 не нашла проблем критического или высокого уровня. Из 21 замечания 17 уже исправлены или смягчены, включая все замечания среднего уровня, и каждое исправление Cure53 подтвердила при повторной проверке:

• Критические - 0
• Высокие - 0
• Средние - 6 (все исправлены или смягчены)
• Низкие - 10 (8 исправлено)
• Информационные - 5 (3 исправлено)

Замечания среднего уровня касались авторизации на самом устройстве: например, блокировка приложения не была включена по умолчанию, а на Android-телефоне с root-правами можно было обойти проверку PIN-кода. Для каждого из них злоумышленнику нужен был разблокированный телефон или телефон с root-правами в руках либо вредоносное приложение, которое пользователь установил сам. Четыре открытых пункта - это рекомендации по усилению защиты с низким уровнем важности или информационного характера.

Как Gem Wallet защищает ваши ключи

Cure53 проследила путь секретов кошелька от начала до конца - импорт, зашифрованное хранение, деривацию аккаунтов, подписание, экспорт и удаление - и подтвердила основы защиты:

• Одно ядро на Rust для обоих приложений: приложения для iOS (Swift) и Android (Kotlin) работают на общем ядре на Rust. При обычном подписании расшифрованные приватные ключи остаются внутри Rust, а приложения получают только подписанную транзакцию.
• Надежное шифрование при хранении: каждый секрет шифруется AES-256-GCM ключом, полученным через Argon2id, а заголовок файла тоже проходит аутентификацию. Cure53 признала параметры Argon2id соответствующими актуальным рекомендациям и не нашла повторного использования nonce.
• Защищенное хранение пароля: пароль кошелька хранится в iOS Keychain или Android Keystore.
• Надежная случайность: секретные фразы, nonce и соли берутся из безопасного источника случайных чисел.
• Проверка адресов в 56 сетях: тесты деривации сверяются с заранее заданными ожидаемыми адресами, и во всех 56 сетях, где используется секретная фраза, адреса совпали.

Исправления в Gem Wallet после аудита Cure53

Большинство исправлений делают блокировку приложения надежнее. Теперь Gem Wallet предлагает включить ее при создании или импорте кошелька, а если блокировка включена, для удаления кошелька нужен PIN-код или биометрия. На Android пароль кошелька теперь всегда защищен ключом Android Keystore, а при включенной блокировке приложения этот ключ требует PIN-код устройства или биометрию - так закрыты способы обхода, которые Cure53 нашла на телефонах с root-правами.

Мы также усилили защиту самих приложений. На Android dApps теперь возвращаются в Gem через проверенную ссылку gemwallet.com, которую не может перехватить никакое другое приложение. На iOS секретная фраза и приватный ключ скрыты от скриншотов, записи экрана и переключателя приложений. В ядре на Rust секретные фразы и производные ключи теперь стираются из памяти сразу после использования. Все эти исправления есть в Gem Wallet начиная с версии 2.114.73.

Почему это важно для наших пользователей

Gem Wallet - это некастодиальный кошелек со 100% открытым исходным кодом: приватные ключи хранятся только на вашем устройстве, и ни у кого, включая нашу команду, нет к ним доступа. Весь код открыт на GitHub, поэтому любой может проверить версию, прошедшую аудит, и исправления, которые вышли после него.

Открытый исходный код показывает, как устроен кошелек, а независимый аудит подтверждает его безопасность. Вместе они дают нашим пользователям главное - уверенность, что их криптовалюта под контролем только у них.

Отчет об аудите Cure53 (PDF)

📄 Отчет Cure53 по аудиту Gem Wallet (PDF)

📄 Краткий отчет Cure53 по аудиту Gem Wallet (PDF)

Теперь за Gem Wallet стоят два независимых аудита - CertiK в апреле 2026 года и Cure53 в октябре 2026 года, и мы продолжим приглашать независимых аудиторов проверять наш код. Обновите Gem Wallet до последней версии, чтобы получить все исправления после аудита, - и управляйте криптовалютой безопасно и приватно 24/7.

Дисклеймер: статья носит информационный и образовательный характер и не является финансовой или инвестиционной рекомендацией. Криптоактивы очень волатильны, вложенные деньги можно потерять полностью. Изучайте вопрос самостоятельно и принимайте решения на свой риск.