Table of Contents
Gem Wallet đã vượt qua đợt đánh giá bảo mật chuyên sâu của Cure53: không có vấn đề nghiêm trọng hay mức độ cao nào được tìm thấy trong lõi Rust của ví cũng như trong các ứng dụng iOS và Android, và mọi phát hiện mức trung bình đều đã được khắc phục hoặc giảm thiểu. Báo cáo cuối cùng đề ngày 21 tháng 10 năm 2026. Với người dùng của chúng tôi, đây là thêm một lý do để yên tâm lưu trữ, gửi và swap crypto trong Gem Wallet.
Cure53 là gì?
Cure53 là công ty có trụ sở tại Berlin, chuyên kiểm toán bảo mật ứng dụng từ năm 2007. Đội ngũ của công ty quy tụ 30 chuyên gia độc lập, và Cure53 đã công bố hơn 130 báo cáo kiểm toán trên website của mình.
Cure53 được biết đến không chỉ nhờ các cuộc kiểm toán: đội ngũ này đã tạo ra DOMPurify, công cụ mã nguồn mở bảo vệ ứng dụng web khỏi các cuộc tấn công XSS. Các dự án từng được Cure53 kiểm toán gồm 1Password, Mullvad VPN, Proton Pass và Threema.
Cure53 đã kiểm tra những gì trong Gem Wallet
Vào tháng 9 năm 2026, một nhóm gồm bốn chuyên gia kiểm thử cấp cao của Cure53 đã dành 13 ngày để kiểm thử xâm nhập và kiểm toán mã nguồn Gem Wallet phiên bản 2.114.40. Cuộc kiểm toán theo phương pháp white-box: Cure53 có toàn quyền truy cập mã nguồn, xem xét mã và kiểm thử các bản build phát hành cho iOS và Android. Backend không nằm trong phạm vi cuộc kiểm toán này.
Trọng tâm của cuộc kiểm toán là lõi Rust bảo vệ khóa của bạn trong cả hai ứng dụng:
- Kho khóa mã hóa: Cách ví mã hóa, lưu trữ và xóa dữ liệu bí mật, cũng như cách dữ liệu này được truyền giữa lõi Rust và các ứng dụng.
- Khóa và ký giao dịch: Nhập cụm từ bí mật, dẫn xuất tài khoản và ký giao dịch.
- Bảo vệ mật khẩu: Cách ứng dụng iOS và Android lưu trữ và sử dụng mật khẩu ví.
Kết quả kiểm toán Gem Wallet
Cure53 không tìm thấy vấn đề nghiêm trọng hay mức độ cao nào. Trong 21 phát hiện, 17 phát hiện đã được khắc phục hoặc giảm thiểu, bao gồm tất cả phát hiện mức trung bình, và Cure53 đã xác nhận từng bản sửa trong một đợt rà soát tiếp theo:
- Nghiêm trọng - 0
- Cao - 0
- Trung bình - 6 (tất cả đã được khắc phục hoặc giảm thiểu)
- Thấp - 10 (8 đã khắc phục)
- Thông tin - 5 (3 đã khắc phục)
Các phát hiện mức trung bình liên quan đến việc kiểm soát quyền truy cập ngay trên thiết bị: ví dụ, khóa ứng dụng không được bật theo mặc định, và trên điện thoại Android đã root, bước kiểm tra mật mã có thể bị vượt qua. Mỗi trường hợp đều đòi hỏi kẻ tấn công cầm trong tay một chiếc điện thoại đã mở khóa hoặc đã root, hoặc một ứng dụng độc hại do người dùng cài đặt. Bốn mục còn mở là các đề xuất củng cố ở mức độ thấp hoặc mang tính thông tin.
Cách Gem Wallet bảo vệ khóa của bạn
Cure53 đã theo dõi dữ liệu bí mật của ví từ đầu đến cuối - nhập, lưu trữ mã hóa, dẫn xuất tài khoản, ký, xuất và xóa - và xác nhận các nền tảng sau:
- Một lõi Rust cho cả hai ứng dụng: Ứng dụng iOS (Swift) và Android (Kotlin) dùng chung một lõi Rust. Khi ký giao dịch hằng ngày, khóa riêng tư đã giải mã vẫn nằm trong Rust; các ứng dụng chỉ nhận giao dịch đã ký.
- Mã hóa mạnh khi lưu trữ: Mỗi dữ liệu bí mật được mã hóa bằng AES-256-GCM với khóa được dẫn xuất bằng Argon2id, và phần header của tệp cũng được xác thực. Cure53 nhận thấy các tham số Argon2id phù hợp với khuyến nghị hiện hành và không có trường hợp tái sử dụng nonce.
- Lưu trữ mật khẩu được bảo vệ: Mật khẩu ví được giữ trong iOS Keychain hoặc Android Keystore.
- Nguồn ngẫu nhiên an toàn: Cụm từ bí mật, nonce và salt được tạo từ một nguồn ngẫu nhiên an toàn.
- Kiểm tra địa chỉ trên 56 chuỗi: Các bài kiểm tra dẫn xuất dùng những địa chỉ kỳ vọng cố định, và cả 56 chuỗi dùng cụm từ bí mật đều khớp.
Những gì chúng tôi đã khắc phục sau kiểm toán
Phần lớn các bản sửa giúp khóa ứng dụng mạnh hơn. Giờ đây Gem Wallet đề nghị bật khóa ứng dụng khi bạn tạo hoặc nhập ví, và khi khóa ứng dụng đang bật, việc xóa ví sẽ yêu cầu mật mã hoặc sinh trắc học. Trên Android, mật khẩu ví giờ luôn được bảo vệ bằng một khóa Android Keystore, và khi khóa ứng dụng đang bật, khóa này yêu cầu mã PIN hoặc sinh trắc học của thiết bị, nhờ đó các cách vượt qua mà Cure53 phát hiện trên điện thoại đã root đều bị chặn.
Chúng tôi cũng củng cố chính các ứng dụng. Trên Android, các DApp giờ quay lại Gem qua một liên kết gemwallet.com đã xác minh mà không ứng dụng nào khác có thể chiếm dụng. Trên iOS, cụm từ bí mật và khóa riêng tư được ẩn khỏi ảnh chụp màn hình, bản ghi màn hình và bộ chuyển đổi ứng dụng. Trong lõi Rust, cụm từ bí mật và các khóa dẫn xuất giờ được xóa khỏi bộ nhớ ngay sau khi sử dụng.
Vì sao điều này quan trọng với người dùng của chúng tôi
Gem Wallet là ví tự lưu ký mã nguồn mở 100%: khóa riêng tư chỉ được lưu trên thiết bị của bạn, và không ai, kể cả đội ngũ của chúng tôi, có quyền truy cập vào chúng. Toàn bộ mã đều công khai trên GitHub, nên bất kỳ ai cũng có thể xem xét phiên bản đã được kiểm toán và các bản sửa sau đó.
Mã nguồn mở cho thấy ví được xây dựng như thế nào, còn kiểm toán độc lập xác nhận tính bảo mật của ví. Kết hợp lại, cả hai mang đến cho người dùng điều quan trọng nhất - sự tin tưởng rằng crypto của họ chỉ nằm dưới sự kiểm soát của chính họ.
Đọc toàn bộ báo cáo Cure53
📄 Báo cáo kiểm toán Cure53 của Gem Wallet (PDF)
📄 Bản tóm tắt kiểm toán Cure53 của Gem Wallet (PDF)
Giờ đây, hai cuộc kiểm toán độc lập - CertiK và Cure53 - đứng sau Gem Wallet, và chúng tôi sẽ tiếp tục mời các chuyên gia độc lập xem xét mã của mình. Hãy cập nhật Gem Wallet lên phiên bản mới nhất để nhận mọi bản sửa sau kiểm toán - và quản lý crypto của bạn an toàn, riêng tư 24/7.
Tuyên bố miễn trừ: bài viết chỉ nhằm mục đích cung cấp thông tin và giáo dục, không phải lời khuyên tài chính hay đầu tư. Tài sản crypto biến động rất mạnh và bạn có thể mất toàn bộ số tiền đã đầu tư. Hãy tự tìm hiểu và tự chịu rủi ro với quyết định của mình.
