Table of Contents
Gem Wallet 通過了 Cure53 的深度安全審查：錢包的 Rust 核心以及 iOS 和 Android 應用程式中，都沒有發現嚴重或高風險問題，所有中風險發現也都已修復或緩解。最終報告的日期為 2026 年 10 月 21 日。對我們的使用者來說，這又多了一個安心在 Gem Wallet 中存放、發送和兌換加密貨幣的理由。
什麼是 Cure53？
Cure53 是一家總部位於柏林的公司，自 2007 年起專注於應用程式安全審計。團隊集結了 30 位獨立專家，公司已在官網上發布超過 130 份審計報告。
Cure53 不只做審計：團隊開發了 DOMPurify——一款保護網頁應用程式免受 XSS 攻擊的開源工具。它審計過的專案包括 1Password、Mullvad VPN、Proton Pass 和 Threema。
Cure53 審查了 Gem Wallet 的哪些部分
2026 年 9 月，由 4 名 Cure53 資深測試人員組成的團隊花了 13 天，對 Gem Wallet 2.114.40 版進行滲透測試和原始碼審計。審計採用白箱方法：Cure53 可完整存取原始碼，對其進行審查，並測試了 iOS 和 Android 的正式發布版本。後端不在本次審計範圍內。
審計的重點是兩款應用程式中負責保護金鑰的 Rust 核心：
- 加密金鑰庫：錢包如何加密、儲存和刪除機密資料，以及這些資料如何在 Rust 核心與應用程式之間傳遞。
- 金鑰與簽署：助記詞匯入、帳戶衍生和交易簽署。
- 密碼保護：iOS 和 Android 應用程式如何儲存和使用錢包密碼。
Gem Wallet 審計結果
Cure53 沒有發現任何嚴重或高風險問題。在 21 項發現中，有 17 項已修復或緩解，其中包括全部中風險發現，Cure53 也在複查中逐一確認了每項修復：
- 嚴重 - 0
- 高風險 - 0
- 中風險 - 6（全部已修復或緩解）
- 低風險 - 10（8 項已修復）
- 資訊性 - 5（3 項已修復）
中風險發現都與裝置本身的授權有關：例如，應用程式鎖預設未開啟；在已 root 的 Android 手機上，密碼驗證可能被繞過。每一項都需要攻擊者拿到已解鎖或已 root 的手機，或是使用者自行安裝了惡意應用程式。尚未關閉的 4 項均為低風險或資訊性的強化建議。
Gem Wallet 如何保護金鑰
Cure53 完整追蹤了錢包機密資料的整個生命週期——匯入、加密儲存、帳戶衍生、簽署、匯出和刪除——並確認了以下基礎設計：
- 兩款應用程式共用一個 Rust 核心：iOS（Swift）和 Android（Kotlin）應用程式共用同一個 Rust 核心。日常簽署時，解密後的私鑰始終留在 Rust 內部，應用程式只會收到已簽署的交易。
- 靜態資料強加密：每項機密資料都以 AES-256-GCM 加密，金鑰透過 Argon2id 衍生，檔案標頭同樣經過驗證。Cure53 認為 Argon2id 參數符合目前的建議，也沒有發現 nonce 重複使用。
- 受保護的密碼儲存：錢包密碼保存在 iOS Keychain 或 Android Keystore 中。
- 安全的隨機性：助記詞、nonce 和鹽值都來自安全的隨機來源。
- 56 條鏈的地址檢查：衍生測試使用固定的預期地址，所有 56 條使用助記詞的鏈都完全相符。
審計後我們修復了什麼
大部分修復都讓應用程式鎖變得更強。現在，Gem Wallet 會在建立或匯入錢包時建議開啟應用程式鎖；開啟應用程式鎖後，刪除錢包需要輸入密碼或進行生物識別驗證。在 Android 上，錢包密碼現在一律受 Android Keystore 金鑰保護；開啟應用程式鎖後，使用該金鑰需要裝置 PIN 碼或生物識別驗證，從而堵住了 Cure53 在已 root 手機上發現的繞過漏洞。
我們也強化了應用程式本身。在 Android 上，dApp 現在會透過經過驗證的 gemwallet.com 連結返回 Gem，其他任何應用程式都無法佔用這個連結。在 iOS 上，助記詞和私鑰不會出現在截圖、螢幕錄影和應用程式切換器中。在 Rust 核心中，助記詞和衍生出的金鑰現在會在使用後立即從記憶體中清除。
這對我們的使用者有什麼意義
Gem Wallet 是 100% 開源的自託管錢包：私鑰只儲存在您的裝置上，包括我們團隊在內的任何人都無法存取。所有程式碼都在 GitHub 上公開，任何人都可以查看經過審計的版本以及之後的修復。
開源程式碼展現了錢包是如何打造的，獨立審計則證實了錢包的安全性。兩者結合，為使用者帶來最重要的東西——確信自己的加密貨幣始終只由自己掌控。
閱讀完整的 Cure53 報告
如今，CertiK 和 Cure53 兩項獨立審計都為 Gem Wallet 背書，我們也會持續邀請獨立專家審查我們的程式碼。將 Gem Wallet 更新至最新版本，即可取得審計後的所有修復——全天候安全、私密地管理您的加密貨幣。
免責聲明： 本文僅供資訊參考與學習之用，不構成任何財務或投資建議。加密資產波動性極高，您可能損失全部投入資金。請自行研究，並自行承擔決策風險。
