Table of Contents
Gem Wallet, Cure53’ün kapsamlı güvenlik incelemesinden geçti: cüzdanın Rust çekirdeğinde ve iOS ile Android uygulamalarında kritik veya yüksek önem dereceli hiçbir sorun bulunmadı, orta önem dereceli bulguların tümü ise giderildi ya da etkisi azaltıldı. Nihai rapor 21 Ekim 2026 tarihlidir. Kullanıcılarımız için bu, kripto paralarını Gem Wallet’ta gönül rahatlığıyla saklamak, göndermek ve swap etmek için bir neden daha.
Cure53 nedir?
Cure53, 2007’den beri uygulama güvenliği denetimlerinde uzmanlaşmış, Berlin merkezli bir şirkettir. Ekibinde 30 bağımsız uzman bir araya geliyor ve şirket web sitesinde 130’dan fazla denetim raporu yayımladı.
Cure53 yalnızca denetimleriyle tanınmıyor: ekip, web uygulamalarını XSS saldırılarına karşı koruyan açık kaynaklı bir araç olan DOMPurify’ı geliştirdi. Şirketin denetlediği projeler arasında 1Password, Mullvad VPN, Proton Pass ve Threema yer alıyor.
Cure53, Gem Wallet’ta neleri inceledi
Eylül 2026’da dört kıdemli Cure53 test uzmanından oluşan bir ekip, Gem Wallet’ın 2.114.40 sürümünde sızma testi ve kaynak kod denetimi için 13 gün çalıştı. Denetim white-box yaklaşımıyla yürütüldü: Cure53 kaynak koda tam erişime sahipti, kodu inceledi ve iOS ile Android sürüm derlemelerini test etti. Backend bu denetimin kapsamında değildi.
Denetimin odağında, her iki uygulamada anahtarlarınızı koruyan Rust çekirdeği vardı:
- Şifreli anahtar deposu: Cüzdanın gizli verileri nasıl şifrelediği, sakladığı ve sildiği, ayrıca bu verilerin Rust çekirdeği ile uygulamalar arasında nasıl aktarıldığı.
- Anahtarlar ve imzalama: Gizli ifadenin (secret phrase) içe aktarılması, hesap türetme ve işlem imzalama.
- Şifre koruması: iOS ve Android uygulamalarının cüzdan şifresini nasıl sakladığı ve kullandığı.
Gem Wallet denetim sonuçları
Cure53 kritik veya yüksek önem dereceli hiçbir sorun bulmadı. 21 bulgunun 17’si, orta önem dereceli bulguların tümü dahil, şimdiden giderildi ya da etkisi azaltıldı ve Cure53 her düzeltmeyi takip incelemesinde doğruladı:
- Kritik - 0
- Yüksek - 0
- Orta - 6 (tümü giderildi ya da etkisi azaltıldı)
- Düşük - 10 (8’i giderildi)
- Bilgi amaçlı - 5 (3’ü giderildi)
Orta önem dereceli bulgular cihazın kendisindeki yetkilendirmeyle ilgiliydi: örneğin uygulama kilidi varsayılan olarak açık değildi ve root’lu bir Android telefonda parola kontrolü atlatılabiliyordu. Bunların her biri için saldırganın elinde kilidi açık ya da root’lu bir telefon olması veya kullanıcının kötü amaçlı bir uygulama yüklemiş olması gerekiyordu. Açık kalan dört madde, düşük önem dereceli ya da bilgi amaçlı sıkılaştırma önerileridir.
Gem Wallet anahtarlarınızı nasıl koruyor
Cure53, cüzdanın gizli verilerini uçtan uca izledi - içe aktarma, şifreli saklama, hesap türetme, imzalama, dışa aktarma ve silme - ve temelleri doğruladı:
- İki uygulama için tek Rust çekirdeği: iOS (Swift) ve Android (Kotlin) uygulamaları aynı Rust çekirdeğini paylaşır. Günlük imzalamada şifresi çözülmüş özel anahtarlar (private key) Rust içinde kalır; uygulamalara yalnızca imzalanmış işlem ulaşır.
- Saklanan verilerde güçlü şifreleme: Her gizli veri, Argon2id ile türetilen bir anahtar kullanılarak AES-256-GCM ile şifrelenir, dosya başlığı da ayrıca doğrulanır. Cure53, Argon2id parametrelerinin güncel önerilerle uyumlu olduğunu ve nonce’ların yeniden kullanılmadığını tespit etti.
- Korumalı şifre saklama: Cüzdan şifresi iOS Keychain’de veya Android Keystore’da tutulur.
- Güvenli rastgelelik: Gizli ifadeler, nonce’lar ve salt değerleri güvenli bir rastgele kaynaktan üretilir.
- 56 ağda adres kontrolü: Türetme testleri sabit beklenen adresler kullanır ve gizli ifade kullanan 56 ağın tümünde adresler eşleşti.
Denetimden sonra neleri düzelttik
Düzeltmelerin çoğu uygulama kilidini güçlendiriyor. Gem Wallet artık bir cüzdan oluşturduğunuzda veya içe aktardığınızda kilidi etkinleştirmeyi öneriyor ve uygulama kilidi açıkken bir cüzdanı silmek için parolanız veya biyometrik doğrulama isteniyor. Android’de cüzdan şifresi artık her zaman bir Android Keystore anahtarıyla korunuyor ve uygulama kilidi açıkken bu anahtar cihazınızın PIN’ini veya biyometrik doğrulamayı gerektiriyor; böylece Cure53’ün root’lu telefonlarda bulduğu atlatma yolları kapanıyor.
Uygulamaların kendisini de sıkılaştırdık. Android’de DApp’ler artık Gem’e, başka hiçbir uygulamanın sahiplenemeyeceği doğrulanmış bir gemwallet.com bağlantısı üzerinden dönüyor. iOS’ta gizli ifadeniz ve özel anahtarınız ekran görüntülerinde, ekran kayıtlarında ve uygulama değiştiricide gizleniyor. Rust çekirdeğinde ise gizli ifadeler ve türetilen anahtarlar artık kullanımdan hemen sonra bellekten siliniyor.
Bu, kullanıcılarımız için neden önemli
Gem Wallet %100 açık kaynaklı ve öz saklamalı bir cüzdandır: özel anahtarlarınız yalnızca cihazınızda saklanır ve ekibimiz dahil hiç kimse onlara erişemez. Kodun tamamı GitHub’da açık, bu yüzden herkes denetlenen sürümü ve ardından gelen düzeltmeleri inceleyebilir.
Açık kaynak kod cüzdanın nasıl yapıldığını gösterir, bağımsız bir denetim ise cüzdanın güvenliğini doğrular. İkisi birlikte kullanıcılarımıza en önemli şeyi verir - kripto paralarının yalnızca kendi kontrollerinde kaldığına dair güven.
Cure53 raporunun tamamını okuyun
📄 Gem Wallet Cure53 Denetim Raporu (PDF)
📄 Gem Wallet Cure53 Denetim Özeti (PDF)
Artık Gem Wallet’ın arkasında CertiK ve Cure53 olmak üzere iki bağımsız denetim var ve kodumuzu incelemeleri için bağımsız uzmanları davet etmeye devam edeceğiz. Denetim sonrası tüm düzeltmeleri almak için Gem Wallet’ı en son sürüme güncelleyin - ve kripto paranızı 7/24 güvenli ve gizli bir şekilde yönetin.
Uyarı: Bu makale yalnızca bilgilendirme ve eğitim amaçlıdır, finansal veya yatırım tavsiyesi değildir. Kripto varlıklar çok oynaktır ve yatırdığınız paranın tamamını kaybedebilirsiniz. Kendi araştırmanızı yapın ve kararlarınızı kendi riskinizle verin.
