Tangem Mobile WalletがCure53の独立セキュリティ監査を通過
Tangem Mobile Walletの独立セキュリティ監査の結果をご報告します。今回の監査は、業界でも特に厳格なソフトウェアセキュリティ評価で知られるベルリン拠点のセキュリティ企業Cure53によって実施されました。
この監査は、2018年のKudelski Securityや2023年のRiscureによるファームウェアレビューなど、Tangemがこれまで実施してきた独立監査の最新事例です。各監査はTangemのセキュリティを構成する異なる側面に焦点を当てており、今回は新しいTangem Mobile walletが対象となりました。
監査内容
Cure53は、TangemのAndroidおよびiOS SDKのソースコードとセキュリティを精査しました。SDK（Software Development Kit）は、Tangemアプリがスマートフォン上でどのように動作するかを支える基盤となるコード群です。アプリとウォレットカード間の通信、鍵管理、暗号処理などを担っています。
監査は以下の4分野にわたって行われました：
- Android SDKのセキュリティテスト
- iOS SDKのセキュリティテスト
- Android SDKの暗号技術レビュー
- iOS SDKの暗号技術レビュー
Cure53のシニアセキュリティリサーチャー6名が23日間にわたりプロジェクトに取り組みました。Tangemはソースコード、アプリビルド、技術ドキュメントなどを全面的に提供。これは「ホワイトボックス」監査と呼ばれる手法で、外部から見える部分だけでなく、内部構造まで全て検証されます。
監査結果
Cure53は、Tangem Mobile SDKが実運用レベルのアプリケーションに求められるセキュリティ要件を満たしていることを確認しました。つまり、アプリは安全にご利用いただけます。
また、Android版とiOS版の両方で一貫した高いセキュリティ品質が保たれている点も指摘されました。両プラットフォームの特性を活かしたセキュリティ設計がなされており、どちらの端末を使っても同じ水準で守られています。
監査人からの主な提言は「定期的な監査の継続」です。今後アプリやSDKに新機能が追加されるたびに、定期的な見直しを行うことで新たなリスクの発生を防ぐことが重要だとしています。Tangemはこのアドバイスを真摯に受け止めています。
Cure53とは
Cure53はベルリンに拠点を置く独立系ITセキュリティ企業です。ペネトレーションテストやソースコード監査、暗号技術レビューを専門とし、世界中の主要なソフトウェア（ブラウザ、パスワードマネージャー、VPNクライアント、暗号ツールなど）を数多く手掛けてきました。監査レポートは公開されており、技術力と信頼性の高さで業界内でも評価されています。
モバイルウォレット監査の重要性
多くの方はTangemのウォレットセキュリティを物理デバイス側で考えがちですが、実際にはスマートフォンアプリも同じくらい重要です。MobileとHardwareウォレットの両方で日常的に使うインターフェースであり、カードやリングとアプリがやり取りする要となります。
だからこそ、モバイルSDKの監査はセキュリティを重視するウォレットにとって不可欠です。Cure53のような第三者による独立監査は、社内テストだけでは得られない外部の専門的な視点と信頼性をもたらします。
今後について
Tangemのハードウェアウォレットファームウェアは、これまでに2度独立系セキュリティ企業による監査を受けてきました。そして今回、モバイルウォレットも監査を通過しました。今後もTangemエコシステムの発展とともに、独立したセキュリティレビューを継続し、その結果を公開していきます。
Cure53による監査の要約レポートはこちらからご覧いただけます。
