د Biatec Wallet خپرې شوې د مصنوعي ځیرکتیا پلټنې د سواپ په لاسلیک کې یو بحراني نقص وموند

د ماشینونو لیکلی د پلټنې ریکارډ

د ۲۰۲۱ کال په مې میاشت کې هغې پروژې چې نن Biatec Wallet بلل کیږي، خپله لومړنۍ عامه بڼه خپره کړه: یو بټوه جوړول، د پاسورډ په مرسته یې ساتل، او د حساب بنسټیز معلومات کتل — دا ټول د براوزر د یوه ټاب دننه. پنځه کاله وروسته، هماغه کوډبېس چې د Biatec¹ برنډ لاندې نوی نوم او پراختیا ورکړل شوې، لا هم په بشپړ ډول د براوزر دننه ځانګړی کیږي، او د یوې کوچنۍ ټولنیزې بټوې لپاره یې یوه نااشنا طریقه غوره کړې ده: د نیټې لرونکي د امنیتي پلټنې راپورونه، چې مصنوعي ځیرکتیا ماډلونو لیکلي، مستقیم د خپل عامه GitHub زېرمه² کې خپروي، ترڅنګ یې د هغو ټولو خطرونو ژوندی راجستر چې دا پلټنې موندلي دي.

تر ټولو نوی راپور، چې د اګست پر ۴ نېټه دی، په داسې خبرداری پیل کیږي چې ډېری پروژې به یې پټول غوره ګڼي: «د سرلیک پایله منفي ده: دا پلټنه یو بحراني او یو لوړ مورد راپورته کوي، چې دواړه د یو حساب د ټولو پیسو د بشپړ ضایع کېدو واقعي لارې دي.» دواړه موندنې د سواپ په ځانګړتیا کې دي — هغه یوازینی ځای په بټوه کې چې د کاروونکي شخصي کیلي په لنډ مهال لپاره د یوه لیرې سرور د پایلو سره مخامخ کیږي — او دا چې څنګه وموندل شوې او څنګه سمې شوې، د دې ډول ځانخپرې شوې د پلټنې پروګرام لپاره مناسبه پیمانه ده چې څه تضمینولای شي او څه نه.

هغه بټوه چې هېڅکله ستاسو کیليو ته لاس نه رسوي

Biatec Wallet یوه وړیا، خلاص کوډ او غیرامانتي Algorand بټوه ده چې د سلوواکیا د براتیسلاوا ښار د Scholtz & Company, jsa. له خوا جوړه شوې (د شرکت ID ۵۱ ۸۸۲ ۲۷۲، VAT SK۲۱۲۰۸۲۸۱۰۵) او د Biatec برنډ لاندې پراخه شوې ده. غیرامانتي یعنې هېڅ دریم اړخ هېڅکله شخصي کیلي نه لري: نه بیکاینډ سرور شته، نه د نوم لیکنې فورم، او نه KYC، او د بټوې فایل د AES-۲۵۶ سره کوډ شوی او د براوزر په خپل IndexedDB کې ساتل کیږي. پاسورډ یوازې په سیمهییز ډول د کوډ کولو او بیا خلاصولو لپاره کارول کیږي — هېڅکله چېرته نه لېږل کیږي، ان د Biatec خپلې زیربنا ته هم نه — او بټوه له وروستي فعالیت پنځه دقیقې وروسته ځان بندوي او خلاصه شوې کیلي له حافظې ړنګوي. پروژه ځان د Algorand لومړنۍ خلاص کوډ بټوه بولي؛ د خبرونو پوښښ ښیي چې د Algorand رسمي بټوه یوازې د ۲۰۲۱ کال په جون کې په بشپړ ډول خلاص کوډ شوه، یعنې د AWallet لومړنۍ عامه بڼې یوه میاشت وروسته.

د آزموینې لپاره یو براوزر او د پاسورډ ټاکل بس دي: wallet.biatec.io³ پرانیزئ — د پروژې README زوړ a-wallet.net ډومین د هماغه ګمارنې منسوخ شوی عکس ښیي — د بټوې نوم او پاسورډ وټاکئ (اپ د ۱۲ یا ډېرو تورو سپارښتنه کوي چې لوی او کوچني توري، عددونه او ځانګړي نښې پکې ګډې وي)، او د بټوې فایل په سیمهییز ډول جوړیږي. اپ په ډیفالټ ډول پر مین نیټ چلیږي، د AlgoNode عامه نوډونو ته نښلول شوی، او داسې تنظیمات لري چې وړاندې کوونکی بدل کړي — په دې کې د Biatec خپل Algorand نوډ او انډیکسر زیربنا هم شامله ده.

د پلټنې پروګرام څنګه چلیږي

دا بهیر په ai-audit-instructions.md نومي فایل کې ټاکل شوی: په زېرمه کې د «do new audit» ټایپ کول د یوه مصنوعي ځیرکتیا ماډل نوې پلټنه پیلوي، چې باید د «یو مسلکي هوښیار تړون / د بټوې د امنیت پلټنې شرکت» په څېر عمل وکړي — شکمن، سیال او د خطر د درجې په ټاکلو کې دقیق، او هره موندنه باید ځانګړي د فایل لارو او د کرښې شمېرو ته وتړل شي. هر راپور پلټل شوی کمېټ، هغه ماډل چې پلټنه یې کړې، او کارول شوې د لارښوونې بڼه ثبتوي؛ د خطرونو راجستر هره موندنه تل له ځانه سره وړي، هېڅکله کرښې نه ړنګوي او بند شوې یې د تعقیب وړتیا لپاره ساتي.

موندنه: سواپونه په ړوند ډول لاسلیک شول

بحراني مونده، چې د AW-۲۰۲۶-۰۴۳ په نوم تعقیب کیږي، د بټوې هغې یوې برخې ته اړه لري چې په خپل ډیزاین سره باید یو شېبه یو بېګانه باوري کړي. کله چې کاروونکی یو دارايي په بلې بدله کوي، بټوه له یوه اګریګیټر — Deflex، Folks Router یا Biatec Router — غواړي چې لار محاسبه کړي او د راکړې ورکړې نه لاسلیک شوې ټرانزکشنونه بېرته راولېږي. بټوه دا ټرانزکشنونه خلاصوي او مستقیم د حساب د خامې شخصي کیلي سره یې لاسلیک کوي. پلټنې چې څه تعقیب کړي هغه دا دي چې له درېیو لارو هېڅ یوې د سرور د لېږل شوو ټرانزکشنونو په اړه هېڅ نه تاییدوله: نه دا چې لېږدوونکی د کاروونکي خپل حساب دی، نه ترلاسه کوونکی یا اندازه د ښودل شوې بیې پر وړاندې، او نه هم د شبکې genesis ID — او ټرانزکشنونه د لاسلیک مخکې هېڅکله کاروونکي ته نه ښودل کیږي. کاروونکی یوازې د Execute یوې تڼۍ کلیک کوي او د لیرې ټرانزکشنونو یوه نه معلومه ډله د هغه په کیلي لاسلیک کیږي.

خطر د Algorand د ټرانزکشنونو د کار کولو ځانګړې بڼې پورې تړاو لري. یو لاسلیک شوی ټرانزکشن کولای شي له «X ته Y ورکړه» پرته نور فیلډونه هم ولري: د closeRemainderTo فیلډ حساب په بشپړ ډول بندوي او د هغه ټول ALGO بیلانس — یا د یوې دارايي لېږد په صورت کې ټوله ټوکن لرونکې — هغه ادرس ته وړي چې فیلډ یې نوموي، او د rekeyTo فیلډ د حساب د لاسلیک واک په بشپړ ډول بلې کیلي ته لېږدوي. پر Algorand، د کیلي بیاټاکل حساب ته اجازه ورکوي چې خپل لاسلیک واک بلې کیلي ته وسپاري؛ بیا خط کتاب ثبتوي چې په رښتیا کومه کیلي لاسلیک کوي. یو زیانمن یا بدخواه اګریګیټر API کولای شي همدا ډول ټرانزکشن بېرته راولېږي، او بټوه به یې په چوپ ډول لاسلیک او ولېږي — په دې سره له هغو سرو خبرداریانو تېریږي چې د close-to او rekey په اړه یوې پخوانۍ سمونې (AW-۲۰۲۶-۰۰۱) په اپ کې د لاسلیک هر بل سطح ته ورزیاتې کړې وې.

دویمه مونده: د ډومین هغه کتنه چې پر بریدګر باور کوي

لوړه مونده، AW-۲۰۲۶-۰۴۴، د ARC-۶۰ په نوي د خپلسرو معلوماتو د لاسلیک ځانګړتیا کې ده. ARC-۶۰ د WalletConnect پراخوي — هغه د QR کوډ پروتوکول چې یو ویب اپ ته اجازه ورکوي د یوې بټوې سره ونښلي او لاسلیکونه وغواړي، پرته له دې چې هېڅکله کیلي ولري — نو یو نښل شوی DApp کولای شي د خپلسرو معلوماتو پر سر د تایید لاسلیک وغواړي، چې د بې پاسورډ د ننوتلو بهیرونو بنسټ دی. بټوه د لاسلیک مخکې د غوښتونکي ډومین، موخه او د معلوماتو بشپړ مخکتنه ښیي. پلټنې وموندله چې د ډومین تړلو کتنه ځانته اشاره کوونکې وه: هم ادعا شوی ډومین او هم هغه authenticatorData چې باید د هغه شاهد وای، د هماغه DApp کنټرول شوې غوښتنې دننه راځي او یوازې یو د بل پر وړاندې کتل کیږي، هېڅکله د WalletConnect د ریښتیني سیال پر وړاندې نه. نو یو بدخواه DApp کولای شي د هر هغه ډومین لپاره چې یې وغواړي یو سم لاسلیک ترلاسه کړي — دقیقاً هغه جعلي ننوتل چې د دې ځانګړتیا خپل سورس کمنټ وايي يې مخه نیسي.

په اوسني کوډ کې څه دي — او څه لا نه دي تایید شوي

یوه سمونه د راپور د خپرېدو په هماغه ورځ ومنل شوه (کمېټ 0b3947e، «feat: enhance ARC-60 security and DEX aggregator transaction validation»). یو نوی مشترک مرستندوی، assertSwapTransactionSafe، اوس د درېیو اګریګیټرونو د لاسلیک مخکې پر هر ټرانزکشن چلیږي او که لېږدوونکی د نښل شوي حساب سره سمون ونه لري، یا هر ټرانزکشن rekey یا close-out فیلډ ولري، ټوله ډله ردوي. د ARC-۶۰ په برخه کې، نوی domainMatchesSessionOrigin کتنه ادعا شوی ډومین د WalletConnect د ریښتیني سیال د هوسټ نوم سره پرتله کوي، نه د غوښتنې خپل payload سره.

سمونه پر master او په ګمارل شوې بټوه کې ده: د ګارد د رد پیغامونه په هغه minified JavaScript بنډل کې شته چې a-wallet.net وړاندې کوي، او دا تاییدوي چې د تایید کوډ په هغه څه کې خپریږي چې کاروونکي په رښتیا چلوي؛ دواړه ډومینونه هماغه بیلډ (36221a6، د اګست ۱۳) وړاندې کوي. خو تر اوسه چې نه ده شوې، هغه د سمون تایید د هماغه پروګرام له خوا دی چې باګ یې موندلی و. د خطرونو راجستر تر ټولو نوې ننوېستنه د اګست ۴ پلټنه پخپله ده، چې پخوانی کمېټ یې څېړلی و؛ د تایید کمېټ په هماغه ورځ جلا راغی، او زېرمه کې هېڅ وروستی د پلټنې راپور نشته چې AW-۲۰۲۶-۰۴۳ او AW-۲۰۲۶-۰۴۴ د بند شوو په توګه بیا تایید کړي.

دا نه تایید شوې حالت د دې سره پرتله کول ارزي چې پروګرام په رښتیا څه دی. پلټنې د مصنوعي ځیرکتیا ماډلونو له خوا د پروژې په خپله دايمي لارښوونه ترسره کیږي، په دې شپږو راپورونو کې هېڅ خپلواک امنیتي شرکت نه دی نومول شوی، او زېرمه هېڅ ټګ شوې خپرونه نه خپروي — بیلډونه مستقیم د CI/CD بهیر څخه وځي — نو د خپرونې د تصدیق هېڅ پړاو نشته چې پرې تکیه وشي. د اګست ۴ راپور پخپله روښانه وايي چې د هغه مهمې موندنې په سټاټیک سورس کې تعقیب شوې، د یوې چلېدونکې ګمارنې پر وړاندې نه دي ثابتې شوې. د روڼتیا د یوې آزموینې په توګه پروګرام په رښتیا نااشنا دی — ډېری بټوې د پلټنې لنډیزونه خپروي، نه د «سږ میاشت څه وموندل» خام فایلونه. د یوې خپلواکې امنیتي تضمین په توګه، لا هم خپلې تر ټولو نوې سمونې نه پوښي.

یوه ټولنیزه پروژه چې ځان تمویلوي

Biatec له Algorand Inc. او Algorand Foundation څخه خپلواک دی او د خپلې FAQ له مخې له هېڅ یوې دوامداره تمویل نه ترلاسه کوي، خو یوځلي xGov ټولنیزې مرستې یې اخیستې دي. د xGov زېرمه د AWallet خپله ۱۰,۰۰۰ ALGO او د هغې د تادیاتو مهالوښت لپاره ۶۰,۰۰۰ ALGO د تصویب شوو په توګه ثبتوي؛ د ۲۰۲۴ دوې وړاندیزونه — د ۳۶,۹۱۲ ALGO یوه بېرته غوښتنه او د ۱۴۸,۹۹۹ ALGO یوه on-chain د هویت پروژه — د پایلي په توګه لیست شوي دي. د پروژې خپله جمله، د بېرته غوښتنې وړاندیز په لنډیز کې، دا ده چې AWallet «پر Algorand یو له تر ټولو پرمختللو بټوو څخه دی.»

د دې ادعا شاته مالي اثر کوچنی دی. خپور شوی د مرستې ادرس په on-chain ډول ۲۵.۶ ALGO او نږدې ۱.۰۳ USDT لري؛ د پروژې Discord ۴۱۱ غړي لري او د کتنې پر مهال ۷ یې آنلاین وو؛ د بټوې په اړه تر ټولو ښکاره نوی ټولنیز پوسټ، پر Bluesky، یوازې یو لایک لري. پراختیا پخپله ویده نه ده: زېرمه د اګست ۱۵ پرې پوش شوې، ۶۷۲ ستوري لري، او دوه اصلي مرسته کوونکي یې په ترتیب سره ۵۴۶ او ۶۲ کمېټونه لري.

یوه د تمرکز ټکې چې لوستونکی باید پرې فکر وکړي: د بټوې د سواپ پرده د دواړو دریم اړخ روټرونو ترڅنګ د Biatec خپل اګریګیټر له لارې تېریږي، او Biatec همدارنګه هغه Algorand نوډ او انډیکسر زیربنا چلوي چې بټوه ورته نښلولای شي. دا پخپله هېڅ ستونزه نه ده — غیرامانتي ډیزاین یعنې بټوه یوازې هغه څه لاسلیک کوي چې کاروونکی یې تاییدوي — خو د اګست ۴ پلټنه په روښانه ډول ښیي چې ولې د اګریګیټر پوړ هغه د باور پوله ده چې اهمیت لري، او د ټیم خپل روټر سم پر هغې پروت دی.

هماغه سلواکیايي شرکت پر Algorand شاوخوا یوه پراخه وسیلو ټولګه جوړه کړې ده: یو وړیا، خلاص کوډ د تادیاتو ګېټوې چې سوداګرو ته اجازه ورکوي ALGO، USDC یا USDT مستقیم خپل حساب ته ومني، بې له مالي منځګړي او بې له د بټوې د حساب اړتیا، یو خلاص کوډ د رایې سیستم، او د Stabilitas ملي stablecoin چوکاټ، چې دا رسنۍ مخکې موندلې وه چې له ۲۰۲۳ راهیسې ودرېدلی دی. د بټوې د پلټنې پروګرام، هر څومره محدودیتونه ولري، د دې ټولګې هغه برخه ده چې ټیم پکې خپل کار په تر ټولو د کتلو وړ ډول ښیي.

سرچینه

• Biatec Wallet³ (a-wallet.net هماغه بیلډ وړاندې کوي)
• scholtz/wallet GitHub زېرمه² — README، د پلټنې لارښوونې، د خطرونو راجستر، د پلټنې راپورونه، validate.ts، arc60.ts
• د بټوې FAQ⁶
• د بټوې د بدلونونو لیست⁷
• د مرستې پاڼه⁸
• د xGov وړاندیزونه ۹، ۹۰، ۱۹۹، ۲۰۰⁹
• Biatec Wallet - د Algorand ټولنیزه بټوه¹⁰
• Biatec Wallet - د Algorand ټولنیزه بټوه¹¹
• Biatec¹²
• raw.githubusercontent.com¹³
• raw.githubusercontent.com¹⁴
• raw.githubusercontent.com¹⁵
• د src/scripts/aggregators/validate.ts تاریخچه - scholtz/wallet · GitHub¹⁶
• Biatec Wallet - د Algorand ټولنیزه بټوه¹⁷
• په ۲۰۲۶ کې تر ټولو ښې Algorand بټوې: د ALGO د سټیکینګ لپاره خوندي ځایونه - Coin Bureau¹⁸
• Biatec Wallet - د Algorand ټولنیزه بټوه¹⁹