Skip to content

GOwallet 1.0.2 — Isar 加固与兼容性验证

Choose a tag to compare

View all tags
@AlexZeroZero AlexZeroZero released this 07 Sep 03:46
· 14 commits to main since this release
v1.0.2
dd76a21

GOwallet 1.0.2+11 完成 Isar 原生库加固，保持 Isar 3.3.0-dev.2 / libmdbx v0.13.8、现有数据库格式、Dart 接口、UI 和钱包交易逻辑。

  • 从固定源码构建 Android 库，给 C 数据库引擎增加强栈保护与 FORTIFY，并明确启用 RELRO、立即绑定和不可执行栈。三个架构各 93 个导出符号名与原库一致。
  • Isar 原先 3 项高等级、3 项警告加固告警已消除。唯一原生库规则总数从 7 high / 8 warning 降至 4 high / 5 warning。
  • 98 项钱包回归通过；最终 APK 内的新库通过旧数据库双向兼容、索引/关联、回滚、中断恢复及 1,040 条批量写入/删除测试（含 16 个大字段）。
  • 同签名 1.0.1 → 1.0.2 模拟器覆盖安装成功：旧 PIN 可解锁，SCASH 和自定义 BTC 钱包保留，收款地址一致，截图保护正常。
  • ClamAV 1.5.4 扫描感染文件 0。MobSF 官方 v4.5.2 自托管扫描仍为 59/100，单独的 Scorecard 仍为 1 high / 7 warning；完整 52 页 PDF、JSON 和日志均公开，未删减告警。

完整修复说明、验证证据与剩余边界。综合分数不是漏洞数量，也与原生规则计数不同。剩余 Flutter AOT 通用规则需要判断适用性；secp256k1 已有 FORTIFY 编译参数，但未检出相应动态符号。Cargo 依赖中的编译期宏 paste 1.0.15 仍有停止维护公告，已公开说明。

不是独立机构审计认证或零漏洞保证。 动态升级/数据库验证使用 Android API 35 x86_64 模拟器，ARM 库完成编译与静态检查；没有实机/TEE、完整卸载后恢复或真实资金广播验证。VirusTotal 报告尚未取得。当前不是完整 SPV 钱包。

Android API 24+，支持 ARM64/x86_64，包名 org.gowallet.pow。确认离线助记词备份后直接覆盖安装，不要先卸载或清除数据。

APK: gowallet-1.0.2-android-release.apk (96,780,231 bytes)
SHA-256:
c944ad5725d5836e5428459043a82f217267b68db7b4dce20ec8a9afa2b37b4a

Signing certificate SHA-256 (unchanged, v2/v3 verified):
6e796fcb039900ddf4e0bd6b488fe524f665049b37fc480454fcf0f4c5a43f6e

APK 构建代码提交为 173d71c；发布标签另包含扩展压力测试、报告与证据。源码包包含原生源码、许可证和 Cargo.lock，不包含签名私钥或编译产物。自行构建须额外配置 Rust 1.88.0、Android targets、host linker 与 libclang，见 BUILD 和原生构建说明。上游未发布该版本 Cargo.lock，本次锁定了重新解析的依赖，不声称逐位复现其历史二进制。

非托管与 Electrum： 密钥派生和签名在本机完成，请自行离线保管助记词。节点由币种官方或第三方独立运行；节点自身故障属于节点服务问题，APP 自身缺陷仍应向本项目反馈。TLS 不保证节点诚实或持续在线。升级 APP 或更换兼容节点无需转移链上资产。

GPLv3。基于 Stack Wallet 二次开发 / Cypher Stack 的代码与版权；来源和第三方依赖见 NOTICE。GOwallet 是独立衍生项目，不代表上游官方背书。1.0.1 Release 及仓库内历史证据保留。发布前核查时 v1.0.0 Release 已不可用；本次未删除旧 Release、标签或附件。

English: This release hardens the pinned Isar C/Rust native build without changing wallet schemas or Dart APIs. The three Isar canary and three FORTIFY findings are resolved. 98 wallet regressions and exact-release-library database compatibility, batch, rollback and interrupted-write checks passed, along with an in-place emulator upgrade. ClamAV found 0 infected files. MobSF remains 59/100; remaining findings and the paste maintenance advisory are disclosed. This is not an independent audit. Back up offline and install over the existing app; do not uninstall first.

Assets 7
Loading