Gem Wallet ผ่านการตรวจสอบความปลอดภัยจาก Cure53

Gem Wallet ผ่านการตรวจสอบความปลอดภัยเชิงลึกโดย Cure53 โดยไม่พบปัญหาระดับวิกฤติหรือระดับสูงใน Rust core ของกระเป๋าหรือในแอป iOS และ Android และปัญหาระดับปานกลางทุกรายการได้รับการแก้ไขหรือบรรเทาแล้ว รายงานฉบับสุดท้ายลงวันที่ 21 ตุลาคม 2026 สำหรับผู้ใช้ของเรา นี่คืออีกหนึ่งเหตุผลที่จะเก็บ ส่ง และ swap คริปโตใน Gem Wallet ได้อย่างสบายใจ

Cure53 คืออะไร

Cure53 เป็นบริษัทในเบอร์ลินที่เชี่ยวชาญด้านการตรวจสอบความปลอดภัยของแอปพลิเคชันมาตั้งแต่ปี 2007 ทีมงานประกอบด้วยผู้เชี่ยวชาญอิสระ 30 คน และบริษัทได้เผยแพร่รายงานการตรวจสอบมากกว่า 130 ฉบับบนเว็บไซต์

Cure53 เป็นที่รู้จักมากกว่างานตรวจสอบ: ทีมนี้เป็นผู้สร้าง DOMPurify เครื่องมือ open-source ที่ปกป้องเว็บแอปพลิเคชันจากการโจมตีแบบ XSS โปรเจกต์ที่บริษัทเคยตรวจสอบมีทั้ง 1Password, Mullvad VPN, Proton Pass และ Threema

สิ่งที่ Cure53 ตรวจสอบใน Gem Wallet

ในเดือนกันยายน 2026 ทีมผู้ทดสอบอาวุโส 4 คนของ Cure53 ใช้เวลา 13 วันทำ penetration test และตรวจสอบซอร์สโค้ดของ Gem Wallet เวอร์ชัน 2.114.40 การตรวจสอบใช้แนวทางแบบ white-box: Cure53 เข้าถึงซอร์สโค้ดได้ทั้งหมด ตรวจทานโค้ด และทดสอบ release build ของ iOS และ Android ส่วน backend ไม่อยู่ในขอบเขตของการตรวจสอบครั้งนี้

การตรวจสอบเน้นที่ Rust core ซึ่งปกป้องคีย์ในทั้งสองแอป:

• Keystore ที่เข้ารหัส: วิธีที่กระเป๋าเข้ารหัส จัดเก็บ และลบข้อมูลลับ รวมถึงวิธีที่ข้อมูลลับถูกส่งผ่านระหว่าง Rust core กับแอป
• คีย์และการเซ็น: การนำเข้า secret phrase การ derive บัญชี และการเซ็นธุรกรรม
• การปกป้องรหัสผ่าน: วิธีที่แอป iOS และ Android จัดเก็บและใช้รหัสผ่านของกระเป๋า

ผลการตรวจสอบ Gem Wallet

Cure53 ไม่พบปัญหาระดับวิกฤติหรือระดับสูง จากทั้งหมด 21 รายการ มี 17 รายการที่ได้รับการแก้ไขหรือบรรเทาแล้ว รวมถึงปัญหาระดับปานกลางทุกรายการ และ Cure53 ได้ยืนยันการแก้ไขแต่ละรายการในการตรวจทานรอบติดตามผล:

• Critical - 0
• High - 0
• Medium - 6 (แก้ไขหรือบรรเทาทั้งหมด)
• Low - 10 (แก้ไข 8 รายการ)
• Informational - 5 (แก้ไข 3 รายการ)

ปัญหาระดับปานกลางเกี่ยวข้องกับการยืนยันสิทธิ์บนตัวอุปกรณ์เอง เช่น การล็อกแอปไม่ได้เปิดไว้โดยค่าเริ่มต้น และบนโทรศัพท์ Android ที่ถูกรูท การตรวจสอบรหัสผ่านอาจถูกข้ามได้ ทุกรายการต้องอาศัยโทรศัพท์ที่ปลดล็อกอยู่หรือถูกรูทซึ่งตกอยู่ในมือผู้โจมตี หรือแอปอันตรายที่ผู้ใช้ติดตั้งเอง ส่วนอีก 4 รายการที่ยังเปิดอยู่เป็นข้อเสนอแนะด้านการเสริมความแข็งแกร่งระดับ Low หรือ Informational

Gem Wallet ปกป้องคีย์อย่างไร

Cure53 ติดตามข้อมูลลับของกระเป๋าตั้งแต่ต้นจนจบ ทั้งการนำเข้า การจัดเก็บแบบเข้ารหัส การ derive บัญชี การเซ็น การส่งออก และการลบ และยืนยันรากฐานต่อไปนี้:

• Rust core เดียวสำหรับทั้งสองแอป: แอป iOS (Swift) และ Android (Kotlin) ใช้ Rust core ตัวเดียวกัน ในการเซ็นตามปกติ คีย์ส่วนตัวที่ถอดรหัสแล้วจะอยู่ภายใน Rust และแอปได้รับเพียงธุรกรรมที่เซ็นแล้ว
• การเข้ารหัสข้อมูลที่จัดเก็บอย่างแข็งแกร่ง: ข้อมูลลับแต่ละรายการถูกเข้ารหัสด้วย AES-256-GCM โดยใช้คีย์ที่ derive ด้วย Argon2id และส่วนหัวของไฟล์ก็ได้รับการยืนยันความถูกต้องเช่นกัน Cure53 พบว่าพารามิเตอร์ Argon2id สอดคล้องกับคำแนะนำในปัจจุบัน และไม่มีการใช้ nonce ซ้ำ
• การจัดเก็บรหัสผ่านที่ได้รับการปกป้อง: รหัสผ่านของกระเป๋าถูกเก็บไว้ใน iOS Keychain หรือ Android Keystore
• การสุ่มที่ปลอดภัย: secret phrase, nonce และ salt มาจากแหล่งสุ่มที่ปลอดภัย
• การตรวจสอบที่อยู่ใน 56 เชน: การทดสอบการ derive ใช้ที่อยู่ที่คาดหวังแบบตายตัว และทั้ง 56 เชนที่ใช้ secret phrase ให้ผลตรงกัน

สิ่งที่เราแก้ไขหลังการตรวจสอบ

การแก้ไขส่วนใหญ่ทำให้การล็อกแอปแข็งแกร่งขึ้น ตอนนี้ Gem Wallet เสนอให้เปิดการล็อกแอปเมื่อคุณสร้างหรือนำเข้ากระเป๋า และเมื่อเปิดการล็อกแอปไว้ การลบกระเป๋าจะต้องใช้รหัสผ่านหรือไบโอเมตริกซ์ บน Android รหัสผ่านของกระเป๋าได้รับการปกป้องด้วยคีย์ของ Android Keystore เสมอ และเมื่อเปิดการล็อกแอปไว้ คีย์นั้นจะต้องใช้ PIN ของอุปกรณ์หรือไบโอเมตริกซ์ ซึ่งปิดช่องทางการข้ามที่ Cure53 พบบนโทรศัพท์ที่ถูกรูท

เรายังเสริมความแข็งแกร่งให้ตัวแอปด้วย บน Android ตอนนี้ dApp จะกลับมาที่ Gem ผ่านลิงก์ gemwallet.com ที่ได้รับการยืนยันซึ่งแอปอื่นไม่สามารถอ้างสิทธิ์ได้ บน iOS secret phrase และคีย์ส่วนตัวจะถูกซ่อนจากภาพหน้าจอ การบันทึกหน้าจอ และตัวสลับแอป ใน Rust core ตอนนี้ secret phrase และคีย์ที่ derive แล้วจะถูกล้างออกจากหน่วยความจำทันทีหลังใช้งาน

ทำไมสิ่งนี้จึงสำคัญสำหรับผู้ใช้ของเรา

Gem Wallet เป็นกระเป๋าคริปโตแบบ self-custody ที่ open-source 100%: คีย์ส่วนตัวถูกจัดเก็บไว้บนอุปกรณ์ของคุณเท่านั้น และไม่มีใคร รวมถึงทีมของเรา เข้าถึงคีย์ได้ โค้ดทั้งหมดเปิดเผยอยู่บน GitHub ทุกคนจึงตรวจดูเวอร์ชันที่ผ่านการตรวจสอบและการแก้ไขที่ตามมาได้

โค้ด open-source แสดงให้เห็นว่ากระเป๋าถูกสร้างขึ้นอย่างไร และการตรวจสอบอิสระยืนยันความปลอดภัยของกระเป๋า เมื่อรวมกัน ทั้งสองสิ่งมอบสิ่งที่สำคัญที่สุดให้ผู้ใช้ของเรา นั่นคือความมั่นใจว่าคริปโตของพวกเขาอยู่ภายใต้การควบคุมของพวกเขาเพียงผู้เดียว

อ่านรายงาน Cure53 ฉบับเต็ม

📄 รายงานการตรวจสอบ Cure53 ของ Gem Wallet (PDF)

📄 สรุปการตรวจสอบ Cure53 ของ Gem Wallet (PDF)

ตอนนี้ Gem Wallet มีการตรวจสอบอิสระสองครั้งรองรับอยู่ คือ CertiK และ Cure53 และเราจะเชิญผู้เชี่ยวชาญอิสระมาตรวจสอบโค้ดของเราต่อไป อัปเดต Gem Wallet เป็นเวอร์ชันล่าสุดเพื่อรับการแก้ไขทั้งหมดหลังการตรวจสอบ และจัดการคริปโตของคุณอย่างปลอดภัยและเป็นส่วนตัวตลอด 24/7

ข้อสงวนสิทธิ์: บทความนี้มีวัตถุประสงค์เพื่อให้ข้อมูลและความรู้เท่านั้น ไม่ใช่คำแนะนำทางการเงินหรือการลงทุน สินทรัพย์คริปโตมีความผันผวนสูง และคุณอาจสูญเสียเงินที่ลงทุนทั้งหมด โปรดศึกษาข้อมูลด้วยตนเองและตัดสินใจภายใต้ความเสี่ยงของคุณเอง