Table of Contents
Gem Wallet пройшов поглиблену перевірку безпеки від Cure53: ні в ядрі гаманця на Rust, ні в застосунках для iOS та Android не знайдено проблем критичного чи високого рівня, а всі знахідки середнього рівня виправлені або пом’якшені. Фінальний звіт датовано 21 жовтня 2026 року. Для наших користувачів це ще одна причина спокійно зберігати, надсилати й обмінювати криптовалюту в Gem Wallet.
Що таке Cure53?
Cure53 - берлінська компанія, яка з 2007 року спеціалізується на аудитах безпеки застосунків. У її команді 30 незалежних експертів, а на сайті компанії опубліковано понад 130 звітів про аудити.
Cure53 відома не лише аудитами: команда створила DOMPurify - інструмент з відкритим кодом, що захищає вебзастосунки від XSS-атак. Серед проєктів, які вона перевіряла, - 1Password, Mullvad VPN, Proton Pass і Threema.
Що Cure53 перевірила в Gem Wallet
У вересні 2026 року команда з чотирьох старших тестувальників Cure53 за 13 днів провела тест на проникнення та аудит вихідного коду Gem Wallet версії 2.114.40. Аудит проводили за методом білої скриньки: Cure53 мала повний доступ до вихідного коду, вивчила його та протестувала релізні збірки для iOS і Android. Бекенд до цього аудиту не входив.
Основну увагу приділили ядру на Rust, яке захищає ключі в обох застосунках:
- Зашифроване сховище ключів: Як гаманець шифрує, зберігає та видаляє секрети і як вони передаються між ядром на Rust і застосунками.
- Ключі та підписання: Імпорт секретної фрази, деривація акаунтів і підписання транзакцій.
- Захист паролем: Як застосунки для iOS і Android зберігають і використовують пароль гаманця.
Результати аудиту Gem Wallet
Cure53 не виявила проблем критичного чи високого рівня. Із 21 знахідки 17 уже виправлені або пом’якшені, зокрема всі знахідки середнього рівня, і кожне виправлення Cure53 підтвердила під час повторної перевірки:
- Критичні - 0
- Високі - 0
- Середні - 6 (усі виправлені або пом’якшені)
- Низькі - 10 (8 виправлено)
- Інформаційні - 5 (3 виправлено)
Знахідки середнього рівня стосувалися авторизації на самому пристрої: наприклад, блокування застосунку не було ввімкнене за замовчуванням, а на Android-телефоні з root-правами можна було обійти перевірку PIN-коду. Для кожної з них зловмисникові потрібен був розблокований телефон або телефон з root-правами в руках чи шкідливий застосунок, який користувач установив сам. Чотири відкриті пункти - це рекомендації з посилення захисту з низьким рівнем серйозності або інформаційного характеру.
Як Gem Wallet захищає ваші ключі
Cure53 простежила шлях секретів гаманця від початку до кінця - імпорт, зашифроване зберігання, деривацію акаунтів, підписання, експорт і видалення - і підтвердила основи захисту:
- Одне ядро на Rust для обох застосунків: Застосунки для iOS (Swift) і Android (Kotlin) працюють на спільному ядрі на Rust. Під час звичайного підписання розшифровані приватні ключі залишаються всередині Rust, а застосунки отримують лише підписану транзакцію.
- Надійне шифрування під час зберігання: Кожен секрет шифрується AES-256-GCM ключем, отриманим за допомогою Argon2id, а заголовок файлу також проходить автентифікацію. Cure53 визнала параметри Argon2id відповідними чинним рекомендаціям і не знайшла повторного використання nonce.
- Захищене зберігання пароля: Пароль гаманця зберігається в iOS Keychain або Android Keystore.
- Надійна випадковість: Секретні фрази, nonce і солі беруться з безпечного джерела випадкових чисел.
- Перевірка адрес у 56 мережах: Тести деривації звіряються з наперед заданими очікуваними адресами, і в усіх 56 мережах, де використовується секретна фраза, адреси збіглися.
Що ми виправили після аудиту
Більшість виправлень посилюють блокування застосунку. Тепер Gem Wallet пропонує ввімкнути його під час створення або імпорту гаманця, а якщо блокування ввімкнене, для видалення гаманця потрібен PIN-код або біометрія. На Android пароль гаманця тепер завжди захищений ключем Android Keystore, а з увімкненим блокуванням застосунку цей ключ вимагає PIN-коду пристрою або біометрії - так закрито способи обходу, які Cure53 знайшла на телефонах з root-правами.
Ми також посилили захист самих застосунків. На Android dApps тепер повертаються в Gem через перевірене посилання gemwallet.com, яке не може перехопити жоден інший застосунок. На iOS секретна фраза та приватний ключ приховані від скриншотів, запису екрана та перемикача застосунків. У ядрі на Rust секретні фрази й похідні ключі тепер стираються з пам’яті одразу після використання.
Чому це важливо для наших користувачів
Gem Wallet - це некастодіальний гаманець зі 100% відкритим кодом: приватні ключі зберігаються лише на вашому пристрої, і ніхто, включно з нашою командою, не має до них доступу. Весь код відкритий на GitHub, тож будь-хто може перевірити версію, що пройшла аудит, і виправлення, які вийшли після нього.
Відкритий код показує, як влаштований гаманець, а незалежний аудит підтверджує його безпеку. Разом вони дають нашим користувачам найважливіше - впевненість, що їхня криптовалюта під контролем лише в них.
Прочитайте повний звіт Cure53
📄 Звіт Cure53 про аудит Gem Wallet (PDF)
📄 Короткий звіт Cure53 про аудит Gem Wallet (PDF)
Тепер за Gem Wallet стоять два незалежні аудити - CertiK і Cure53, і ми й надалі запрошуватимемо незалежних експертів перевіряти наш код. Оновіть Gem Wallet до останньої версії, щоб отримати всі виправлення після аудиту, - і керуйте криптовалютою безпечно та приватно 24/7.
Застереження: стаття має інформаційний та освітній характер і не є фінансовою чи інвестиційною порадою. Криптоактиви дуже волатильні, вкладені кошти можна втратити повністю. Вивчайте питання самостійно й ухвалюйте рішення на власний ризик.
