Zur Startseite
Unabhängig geprüft
Sicherheitsprüfung der Omega Wallet
Resecurity, Inc. hat die Omega Wallet im September 2026 einer Schwachstellenanalyse und einem Penetrationstest unterzogen und die Behebung im Oktober nachgeprüft. Hier steht, was geprüft wurde, was bestätigt wurde und wie der Stand jedes Fundes ist.
PrüferResecurity, Inc.
Prüfung · Retest23.–28.09.2026 · 08.–18.10.2026
Funde behoben6 / 7
Umfang und Methode
Geprüft wurden die App für iOS und Android, ihre nativen Module, die Backend-Funktionen und die OMDP39-Engine — mit Proof-of-Concept gegen die Produktionsfassung, ausschliesslich lesend. Bewertung nach CVSS v3.1, Einordnung nach OWASP MASVS/MSTG mit CWE-Kennungen. Ziel war ausdrücklich auch, bestehende Schutzmechanismen zu bestätigen, damit sie bei der Behebung erhalten bleiben.
Bestätigte Schutzmechanismen
Dreizehn Kontrollen wurden durch Tests bestätigt, nicht angenommen. Die wichtigsten:
- Vault-Verschlüsselung: PIN-abgeleiteter Schlüssel (PBKDF2, 600 000 Runden) kombiniert mit einem Schlüssel aus dem Hardware-Keystore; AES-GCM.
- PIN-Schutz mit ansteigender Sperre (5 Minuten → 1 Stunde → 24 Stunden); Zähler überleben einen Neustart.
- Biometrische Entsperrung ist kryptografisch gebunden — eine Änderung der Biometrie macht den Schlüssel ungültig.
- OMDP39-Engine: korrekte Schwellenwert-Prüfung, Abweisung doppelter oder unvollständiger Teile, kein Netzwerkcode.
- Solana-Swaps behandeln die Aggregator-Antwort als nicht vertrauenswürdig und simulieren vor dem Signieren.
- Ethereum: Chain-ID-Prüfung vor dem Signieren, exakte ERC-20-Freigaben, Gebührenobergrenze.
- Jede Signatur verlangt PIN oder Biometrie; Schlüssel kommen nur aus dem entsperrten Vault.
- Keine Schlüssel in Protokollen, keine Analyse-SDKs, Backups deaktiviert, Bildschirmaufnahme-Schutz, Zwischenablage wird geleert.
Funde und Stand
Alle sieben Funde mit Schwere (CVSS v3.1) und dem im Retest bestätigten Stand.
| ID | Fund | Schwere | Stand |
|---|---|---|---|
| OW-01 | Backend-Endpunkt gab Zugangsschlüssel zu Drittdiensten ohne Anmeldung heraus | High 8.1 | Behoben, im Retest bestätigt |
| OW-02 | Geräte-Integritätsprüfung liess bei Fehlern die Nutzung zu (fail open) | High 7.7 | Behoben, im Retest bestätigt |
| OW-03 | Kein Certificate Pinning; öffentliche RPC-Gateways als Rückfall | High 7.4 | Android behoben · iOS in Arbeit |
| OW-04 | XRP-Schlüsselanzeige konnte die vollständige Recovery-Phrase zeigen | Medium 6.5 | Behoben, im Retest bestätigt |
| OW-05 | Keine Preisauswirkungs-Warnung beim Swap; Slippage-Grenze zu hoch | Medium 5.3 | Behoben, im Retest bestätigt |
| OW-06 | OMDP39-Engine: fehlende Typprüfung an der Schnittstelle (Absturz möglich) | Low 2.9 | Behoben, im Retest bestätigt |
| OW-07 | iOS erlaubte unverschlüsselte Verbindungen ins lokale Netz | Low 2.6 | Behoben, im Retest bestätigt |
Was noch offen ist
Certificate Pinning (OW-03) ist auf Android umgesetzt und bestätigt. Auf iOS wird es mit einem der nächsten Updates ausgeliefert; bis dahin gilt für iOS die Standard-Zertifikatsprüfung des Systems. Diese Seite wird aktualisiert, sobald der Retest auch für iOS vorliegt.
Vollständiger Bericht
Der vollständige Bericht enthält Proof-of-Concepts und Details zur Architektur und ist vertraulich. Partner, Integratoren und Prüfer erhalten ihn auf Anfrage unter Vertraulichkeitsvereinbarung: info@cundw.io. Hinweis: Ein Audit ist eine Momentaufnahme innerhalb eines vereinbarten Umfangs und keine Garantie, dass keine weiteren Schwachstellen bestehen — Funde nach dem Audit gehören in unser Bug-Bounty-Programm.
