بازبینی Hacken از Pera Wallet هیچ نقص بحرانی نیافت؛ تنها یک مورد با شدت بالا در کد مشترک

Pera Wallet بازبینی امنیتی مستقلی از اپ موبایلی منتشر کرده که تابستان امسال بازسازی شده بود و بازرس در آن هیچ نقص بحرانی نیافته است. Hacken¹ این اپ، نگهداری کلیدها و passkeyهای آن را در سپتامبر و اکتبر ۲۰۲۶ بررسی کرد.

Pera Wallet² یک کیف پول خودنگهدار Algorand است: کلیدهای خصوصی تنها در اختیار کاربر قرار دارند. بازسازی 7.0³ در تابستان امسال، اپ‌های جداگانه Swift و Kotlin را با یک کدبیس واحد React Native برای هر دو پلتفرم جایگزین کرد.

این بازبینی همان بررسی‌ای است که در گزارش مرداد ما از آن بازسازی از نبودش گفته بودیم. نتیجه روی همان کدبیسی انجام شده که اکنون هر دو فروشگاه اجرا می‌کنند.

چه چیزی بررسی شد

مطالعه موردی Hacken زمان بازبینی را سپتامبر و اکتبر ۲۰۲۶ ذکر می‌کند و چهار مخزن را نام می‌برد: اپ کیف پول React Native، بسته پایه مشترک wallet-provider، افزونه‌های keystore و حساب که بر آن ساخته شده‌اند، و ماژول بومی پرکردن خودکار passkey برای اندروید و iOS. تنها مخزن اپ متعلق به خود Pera است. سه مخزن دیگر پروژه‌های بنیاد Algorand هستند؛ همان چیزی که پست وبلاگ⁴ Pera با اشاره به اینکه بخشی از دامنه بررسی زیرساخت متن‌باز مشترکی را در بر می‌گرفت که بنیاد Algorand نگهداری می‌کند، از جمله اجزایی که Rocca Wallet را نیرو می‌دهند، توصیف می‌کند. Rocca چارچوب کیف پول این بنیاد است که به گفته Pera نسخه 7.0 تا حدی بر آن ساخته شده. مخزن اپ همانی است که بازسازی پدید آورده، پس یک بازبینی اکنون هر دو پلتفرم را پوشش می‌دهد.

تاریخ‌های تغییرات گزارش⁵ نسخه مقدماتی را ۱ سپتامبر ۲۰۲۶ و گزارش نهایی را ۱۹ اکتبر ۲۰۲۶ ثبت می‌کند. پست وبلاگ Pera و مطالعه موردی Hacken هر دو ۱۰ نوامبر منتشر شدند.

فهرست بازبینی‌شده چهار مخزن دارد و هیچ افزونه مرورگری در آن نیست. با این حال صفحه اصلی Pera یکی را تبلیغ می‌کند با این عنوان: «Pera اکنون در مرورگر شماست⁶».

چه چیزی یافت شد

مطالعه موردی Hacken ۲۱⁷ یافته را گزارش می‌کند و می‌گوید در جریان بازبینی هیچ مشکلی با شدت بحرانی شناسایی نشد. شمارش رفع مشکلات، ۱۶⁸ یافته را حل‌شده، ۴⁹ را پذیرفته‌شده و ۱¹⁰ را کاهش‌یافته علامت می‌زند. Hacken همچنین پوشش شاخه‌ها را در چهار مخزن از اواخر ۶۰ درصد تا ۱۰۰¹¹٪ برای هر بسته ثبت می‌کند، و بیشتر بسته‌های مرتبط با امنیت بین ۸۰¹² تا ۹۷٪ قرار دارند.

پست وبلاگ Pera که همان روز منتشر شد می‌گوید بازبینی «در اکتبر ۲۰۲۶ به پایان رسید¹³» و «از آن زمان هر یافته شناسایی‌شده برطرف شده است¹⁴». و می‌افزاید: «هیچ آسیب‌پذیری بحرانی یافت نشد و همه یافته‌های شناسایی‌شده رسیدگی شده‌اند.¹⁵» بنابراین «رسیدگی» در بیان Pera هم اصلاح‌ها، هم یک کاهش و هم چهار یافته‌ای را در بر می‌گیرد که همان‌گونه که بودند پذیرفته شدند.

تنها یافته با شدت بالا

یک مورد رتبه بالا داشت، و چون کلیدها تنها در اختیار کاربر است، ضعفی در این لایه هیچ پشتوانه‌ای در سمت سرور ندارد. Hacken این یافته را یک تابع کمکی بی‌استفاده در بسته keystore مشترک توصیف می‌کند که در جریان‌های کاری عملیاتی Pera Wallet فعال نیست. این تابع کمکی کلید رمزنگاری خود را از مقداری مشتق می‌کرد که محرمانه نیست، پس هر کسی که آن مقدار را داشت می‌توانست کلید را بازتولید و رمزگشایی کند. یادداشت گزارش می‌افزاید پروژه‌های دیگری جز Pera که بر بسته مشترک ساخته شده‌اند می‌توانند کد آسیب‌دیده را فراخوانی کنند. Hacken می‌گوید موضوع همان روزی که مطرح شد به نگهدارنده بسته اطلاع داده شد. Pera حدود دو هفته پیش از بسته شدن بازه رفع مشکلات، برای هر یافته درخواست‌های ادغام اصلاحی مرتبط کرده بود.

این توصیف برای کسانی مهم است که وسوسه می‌شوند رتبه بالا را هشداری برای کل اپ بخوانند. بازرس نقص را بیرون از مسیرهایی قرار می‌دهد که اپ Pera اجرا می‌کند، در کدی که کیف پول‌ها و پروژه‌های دیگر در آن شریک‌اند.

یافته‌ها کجا متمرکز بودند

خلاصه Hacken بخش بزرگی از بازبینی را حول passkeyها و نحوه مدیریت WebAuthn دسته‌بندی می‌کند. گزارش آن مسیری در اندروید را فهرست می‌کند که به یک relying party گفته بود کاربر تأیید شده، در حالی که هیچ درخواست بیومتریکی اجرا نشده بود. کد پاک‌سازی‌ای را فهرست می‌کند که می‌توانست کل فضای نام مشترک keystore کیف پول را پاک کند، نه فقط ورودی‌های متعلق به passkeyها. و اشتقاق قطعی‌ای را فهرست می‌کند که بر نام نمایشی حساب استوار بود نه بر شناسه پایدار کاربر در WebAuthn، به‌طوری که دو حساب با نام یکسان می‌توانستند به مواد کلیدی یکسانی برسند. مورد آخر یکی از چهار یافته پذیرفته‌شده است، همراه با ملاحظه‌ای درباره نحوه زمان‌سنجی قفل تلاش مجدد PIN.

این سطح مربوط به جدیدترین نوع کیف پول است. راهنمای passkey¹⁶ Pera که ۲۸ اکتبر ۲۰۲۶ به‌روزرسانی شد می‌گوید passkeyها فقط برای Universal Walletها در دسترس‌اند، نه کیف پول‌های قدیمی Algo25. آن‌ها از Universal Wallet مشتق و روی دستگاه ذخیره می‌شوند، و راهنما می‌گوید پشتیبانی از پروتکل Liquid Auth «به‌زودی» می‌آید. یک Universal Wallet تا ۵۰ حساب را از یک عبارت BIP-39 ۲۴¹⁷ کلمه‌ای می‌گیرد. پس عمیق‌ترین بخش بازبینی به نوع کیف پولی مربوط است که از passkey استفاده می‌کند، و تنها به دارندگانی که آن را راه‌اندازی کرده‌اند.

چه کسی بازبینی را انجام داد

Pera این کار را سفارش داد: مطالعه موردی Hacken از Pera Wallet به عنوان یکی از شرکت‌های وابسته به Algorand یاد می‌کند که Hacken را برای ارزیابی اپ کیف پولش و زیرساخت نگهداری کلید و passkey در زیر آن به کار گرفت. «مستقل» توصیف‌کننده این است که چه کسی کار را انجام داده، نه چه کسی آن را خواسته است.

در مطالعه موردی از Will Beaumont، مدیر مهندسی Pera، درباره اهمیت این بازبینی نقل قول شده است. او گفت کد باید علاوه بر مهندسان امنیت خود Pera، توسط کارشناسان بیرونی هم بررسی شود.

خواننده اکنون چه کند

Pera می‌گوید نسخه بازبینی‌شده همانی است که در فروشگاه‌ها عرضه شده، پس گام یک دارنده به‌روزرسانی از فروشگاه اپ است. هر کس بخواهد خود بازبینی را بسنجد می‌تواند گزارش را باز کند که هر یافته را با شدت و وضعیتش فهرست می‌کند.

21

یافته‌های شناسایی‌شده

16

حل‌شده

4

پذیرفته‌شده

1

کاهش‌یافته

• یافته‌های شناسایی‌شده: 21.
• حل‌شده: 16.
• پذیرفته‌شده: 4.
• کاهش‌یافته: 1.

منابع

• P……¹⁸
• Pera Wallet بازبینی امنیتی مستقل را با Hacken کامل کرد | از Pera Wallet | نوامبر…⁴
• Hacken کیف پول Algorand و زیرساخت passkey Pera Wallet را بازبینی کرد - Hacken¹⁹
• بازبینی Perawallet توسط Hacken⁵
• P……²⁰
• Pera Wallet – چگونه passkeyها (Liquid Auth) را در Pera Wallet راه‌اندازی کنیم¹⁶
• 3WABxY7 (hackenio.cc)²¹