Tangem Mobile WalletがCure53による独立セキュリティ監査に合格

Tangem Mobile Walletの独立セキュリティ監査の結果をご報告します。今回の監査は、業界でも有数の徹底したソフトウェアセキュリティ評価で知られるベルリン拠点のセキュリティ企業Cure53によって実施されました。

Tangemではこれまでにも、2018年のKudelski Security、2023年のRiscureによるファームウェア監査など、複数の独立監査を依頼してきました。それぞれ異なる観点からTangemのセキュリティを評価しています。今回の監査は新しいTangem Mobile Walletに焦点を当てています。
 

監査対象

Cure53は、TangemのAndroidおよびiOS SDKのソースコードとセキュリティを精査しました。SDK（ソフトウェア開発キット）は、Tangemアプリがスマートフォン上で動作するための基盤となるコードです。ウォレットカードとの通信、鍵の管理、暗号処理などを担っています。

監査は以下の4つの分野をカバーしました：

• Android SDKのセキュリティテスト
• iOS SDKのセキュリティテスト
• Android SDKの暗号技術レビュー
• iOS SDKの暗号技術レビュー

Cure53の6名のシニアセキュリティリサーチャーが、23日間かけて本プロジェクトに取り組みました。Tangemはソースコード、アプリビルド、技術ドキュメントへの完全なアクセスを提供しました。このような監査は「ホワイトボックス監査」と呼ばれ、外部から見える部分だけでなく、すべての内部情報をもとに評価が行われます。

監査結果

Cure53は、Tangem Mobile SDKが本番運用に耐えうるセキュリティ要件を満たしていることを確認しました。つまり、アプリは安心してご利用いただけます。

また、Android版・iOS版ともに一貫した高いセキュリティ品質が保たれている点も評価されました。両アプリは、それぞれのプラットフォームが持つセキュリティ機能を十分に活用して設計されています。どちらの端末でも同じレベルの安全性が確保されていることは重要です。

監査人からの主な提言は「今後も定期的に監査を継続すること」でした。アプリが新機能を追加し、SDKが拡張されるにつれて、定期的な見直しが新たなリスクの防止に役立ちます。Tangemもこの提言を重視しています。

Cure53とは

Cure53はベルリンを拠点とする独立系ITセキュリティ企業です。ペネトレーションテストやソースコード監査、暗号技術レビューを専門とし、世界中のセキュリティ要件が高いソフトウェア（ブラウザ、パスワードマネージャー、VPNクライアント、暗号ツールなど）を多数手がけています。監査報告書は公開されており、技術的な信頼性で評価されています。

Mobile Walletの監査が重要な理由

多くの方はTangemのウォレットセキュリティを物理デバイスで考えがちですが、実際にはスマートフォンアプリも同じくらい重要です。モバイルウォレットもハードウェアウォレットも、日々使うアプリがカードやリングと連携するインターフェースとなっています。

だからこそ、モバイルSDKの監査はセキュリティ重視のウォレットには不可欠です。Cure53のような第三者による独立監査は、社内テストだけでは得られない客観的な評価をもたらします。

今後について

Tangemのハードウェアウォレットファームウェアは、これまでに2回独立監査を受けてきました。今回、モバイルウォレットも監査を完了しました。今後もTangemエコシステムの発展にあわせて、独立したセキュリティレビューを継続し、その結果を公開していきます。

Cure53による監査の要約レポート全文はこちらからご覧いただけます。