مراجعة Hacken لمحفظة Pera Wallet لا تكشف عن ثغرات حرجة، مع وجود ثغرة واحدة عالية الخطورة في شيفرة مشتركة

نشرت Pera Wallet مراجعة أمنية مستقلة لتطبيق الهاتف الذي أعادت بناءه هذا الصيف، ولم يجد المدقق أي ثغرات حرجة. وقد راجعت Hacken¹ التطبيق وطريقة حفظ المفاتيح فيه ومفاتيح المرور (passkeys) خلال شهري سبتمبر وأكتوبر 2026.

Pera Wallet² محفظة Algorand ذاتية الحفظ: المستخدم وحده يحتفظ بالمفاتيح الخاصة. وقد استبدل إعادة بنائها 7.0³ هذا الصيف تطبيقي Swift وKotlin المنفصلين بقاعدة شيفرة واحدة بـ React Native للمنصتين معًا.

هذه المراجعة هي الفحص الذي أشارت تغطيتنا في أغسطس لإعادة البناء تلك إلى غيابه. وقد وقعت على قاعدة الشيفرة التي يشغّلها المتجران الآن.

ما الذي جرى مراجعته

تؤرّخ دراسة الحالة من Hacken المراجعة إلى شهري سبتمبر وأكتوبر 2026 وتذكر أربعة مستودعات. وهي تطبيق المحفظة بـ React Native، وحزمة الأساس المشتركة لمزوّد المحفظة، وامتدادات تخزين المفاتيح والحسابات المبنية عليها، ووحدة التعبئة التلقائية الأصلية لمفاتيح المرور على Android وiOS. مستودع التطبيق وحده مملوك لـ Pera. أما الثلاثة الأخرى فهي مشاريع تابعة لمؤسسة Algorand، وهو ما تصفه تدوينة⁴ Pera حين تقول إن جزءًا من النطاق غطّى بنية تحتية مفتوحة المصدر مشتركة تديرها Algorand، بما في ذلك مكوّنات تشغّل Rocca Wallet. وRocca هو إطار المحافظ التابع للمؤسسة الذي تقول Pera إن الإصدار 7.0 مبني جزئيًا عليه. ومستودع التطبيق هو الذي أنتجه إعادة البناء، لذا تغطي مراجعة واحدة الآن المنصتين.

يؤرّخ سجل التغييرات في التقرير⁵ النسخة الأولية في 1 سبتمبر 2026 والتقرير النهائي في 19 أكتوبر 2026. وقد نُشرت تدوينة Pera ودراسة الحالة من Hacken في 10 نوفمبر.

تضم القائمة المدققة أربعة مستودعات ولا تضم أي إضافة للمتصفح. ومع ذلك تروّج الصفحة الرئيسية لـ Pera لإحداها، بعبارة 'Pera Is Now in Your Browser⁶'.

ما الذي جرى اكتشافه

تذكر دراسة الحالة من Hacken 21⁷ نتيجة، وتنص على أنه لم تُحدَّد أي مشكلات بالغة الخطورة خلال التدقيق. ويشير سجل المعالجة فيها إلى أن 16⁸ من النتائج قد حُلّت، و4⁹ قُبلت، و1¹⁰ خُفّفت. كما تسجّل Hacken تغطية الفروع عبر المستودعات الأربعة من أواخر الستينيات إلى 100¹¹% لكل حزمة، مع وقوع معظم الحزم ذات الصلة الأمنية بين 80¹² و97%.

تقول تدوينة Pera، المنشورة في اليوم نفسه، إن التدقيق 'wrapped up in October 2026¹³' وإنه 'every identified finding has since been resolved¹⁴'. وتضيف: 'No Critical vulnerabilities were found, and all identified findings have been addressed.¹⁵' وعليه فإن كلمة 'addressed' عند Pera تشمل الإصلاحات، وتخفيفًا واحدًا، وأربع نتائج قُبلت كما هي.

النتيجة الوحيدة عالية الخطورة

حملت مشكلة واحدة تصنيف عالي الخطورة، ولأن المستخدم وحده يحتفظ بالمفاتيح، فإن أي ضعف في هذه الطبقة لا يجد سندًا من جهة الخادم. تصف Hacken النتيجة بأنها دالة مساعدة غير مستخدمة في حزمة تخزين المفاتيح المشتركة، وليست فعّالة في مسارات العمل الإنتاجية لـ Pera Wallet. كانت الدالة المساعدة تستمد مفتاح التشفير من قيمة ليست سرية، لذا يمكن لأي شخص يحمل تلك القيمة إعادة إنتاج المفتاح وفك التشفير. وتضيف ملاحظة التقرير أن المشاريع الأخرى غير Pera التي تبني على الحزمة المشتركة يمكنها استدعاء الشيفرة المتأثرة. وتقول Hacken إن المشكلة صُعّدت إلى مشرف الحزمة في اليوم نفسه الذي طُرحت فيه. وقد ربطت Pera طلبات سحب للمعالجة بكل نتيجة قبل نحو أسبوعين من إغلاق نافذة المعالجة.

هذا الوصف مهم لكل من يميل إلى قراءة التصنيف العالي على أنه إنذار يشمل التطبيق بأكمله. فالمدقق يضع الخلل خارج المسارات التي يشغّلها تطبيق Pera، في شيفرة تتقاسمها محافظ ومشاريع أخرى.

أين تركّزت النتائج

تجمع خلاصة Hacken جزءًا كبيرًا من المراجعة حول مفاتيح المرور والتعامل مع WebAuthn. ويسرد تقريرها مسارًا على Android كان يخبر الطرف المعتمد بأن المستخدم قد جرى التحقق منه دون تشغيل أي مطالبة بيومترية. ويسرد شيفرة تنظيف كان يمكنها محو مساحة الأسماء المشتركة بأكملها لتخزين المفاتيح في المحفظة بدلًا من مدخلات مفاتيح المرور وحدها. ويسرد اشتقاقًا حتميًا يعتمد على اسم العرض للحساب بدلًا من معرّف مستخدم WebAuthn الثابت الخاص به، بحيث يمكن لحسابين يتشاركان الاسم أن يقعا على المادة المفتاحية نفسها. وآخر هذه النتائج من بين النتائج الأربع المقبولة، إلى جانب ملاحظة حول كيفية احتساب الوقت في قفل إعادة محاولة إدخال رقم التعريف الشخصي.

هذا السطح يخص أحدث أنواع المحافظ. يقول دليل مفاتيح المرور¹⁶ الخاص بـ Pera، المحدَّث في 28 أكتوبر 2026، إن مفاتيح المرور متاحة فقط للمحافظ العالمية (Universal Wallets) وليس لمحافظ Algo25 القديمة. وهي مشتقة من المحفظة العالمية ومخزّنة على الجهاز، ويقول الدليل إن دعم بروتوكول Liquid Auth 'قادم قريبًا'. وتستمد المحفظة العالمية ما يصل إلى 50 حسابًا من عبارة BIP-39 من 24¹⁷ كلمة. لذا فإن أعمق جزء من المراجعة يخص نوع المحفظة الذي يستخدم مفاتيح المرور، وأولئك المستخدمين فقط الذين أعدّوها.

من أجرى المراجعة

كلّفت Pera بهذا العمل: تصف دراسة الحالة من Hacken محفظة Pera Wallet بأنها شركة تابعة لـ Algorand كلّفت Hacken بتقييم تطبيق محفظتها والبنية التحتية لحفظ المفاتيح ومفاتيح المرور تحته. وكلمة 'مستقلة' تصف من أجرى العمل، لا من طلبه.

ويُقتبس ويل بومونت، رئيس الهندسة في Pera، في دراسة الحالة حول سبب أهمية المراجعة. وقال إن الشيفرة ينبغي أن يفحصها خبراء خارجيون إلى جانب مهندسي الأمن في Pera أنفسهم.

ما الذي يفعله القارئ الآن

تقول Pera إن النسخة المدققة هي الموجودة في المتاجر، لذا فإن خطوة المستخدم هي التحديث من متجر التطبيقات. ومن أراد أن يقيّم المراجعة نفسها فليفتح التقرير، الذي يسرد كل نتيجة بدرجة خطورتها وحالتها.

21

النتائج المحددة

16

تم الحل

4

مقبول

1

تم التخفيف

• النتائج المحددة: 21.
• تم الحل: 16.
• مقبول: 4.
• تم التخفيف: 1.

المصادر

• P……¹⁸
• Pera Wallet Completes Independent Security Audit with Hacken | by Pera Wallet | Nov…⁴
• Hacken Audits Pera Wallet's Algorand Wallet and Passkey Infrastructure - Hacken¹⁹
• Perawallet audit by Hacken⁵
• P……²⁰
• Pera Wallet – How to Set Up Passkeys (Liquid Auth) in Pera Wallet¹⁶
• 3WABxY7 (hackenio.cc)²¹