د Hacken د Pera Wallet بیاکتنه کوم جدي نیمګړتیا نه لري، یو لوړ ریټنګ یې په شریک شوي کوډ کې دی

Pera Wallet د دې موبایل اپلیکیشن خپلواکه امنیتي بیاکتنه خپره کړه چې دې دوبي بیا جوړ کړی و، او بیاکتونکي کومه جدي نیمګړتیا ونه موندله. Hacken¹ د ۲۰۲۶ کال د سپتمبر او اکتوبر په موده کې اپلیکیشن، د کیلیدو ساتنه او د هغې passkeys وڅیړل.

Pera Wallet² یو ځان ساتونکی Algorand بټوه ده: یوازې کاروونکی شخصي کیلي ساتي. د دې ۷.۰³ نسخه چې دې دوبي بیا جوړه شوه، جلا Swift او Kotlin اپلیکیشنونه په یوه React Native کوډبېس بدل کړل چې دواړه پلیټفارمونه پکې ګډ دي.

دا بیاکتنه هغه څه دي چې زموږ د اګست راپور د دې بیا جوړولو په اړه یاد کړی و چې نه و ترسره شوی. دا بیاکتنه د هغه کوډبېس پر بنسټ ده چې اوس دواړه پلورنځي یې چلوي.

څه څیړل شول

Hacken خپله مطالعه د ۲۰۲۶ کال سپتمبر او اکتوبر ته اړوندوي او څلور زېرمې نوموي. هغه د React Native بټوه اپلیکیشن، د بټوې د شریک شوي provider بنسټیزه بسته، پر هغې جوړ شوي کیسټور او حساب extensions، او د Android او iOS لپاره د اصلي passkey autofill ماډل دي. یوازې د اپلیکیشن زېرمه د Pera خپله ده. نورې درې د Algorand Foundation پروژې دي، چې د Pera بلاګ پوسټ⁴ همدا تشریح کوي کله چې وایي د بیاکتنې یوه برخه د Algorand لخوا ساتل شوې شریکه خلاصه سرچینه زیربنا وه، په شمول هغه برخې چې Rocca Wallet چلوي. Rocca د Foundation د بټوې چوکاټ دی چې Pera وایي ۷.۰ تر یوې برخې پر هغې جوړه شوې ده. د اپلیکیشن زېرمه هغه ده چې بیا جوړولو تولید کړه، نو یوه بیاکتنه اوس دواړه پلیټفارمونه پوښي.

د راپور⁵ د بدلونونو لیست ابتدايي نسخه د ۲۰۲۶ کال سپتمبر ۱ او وروستی راپور د ۲۰۲۶ کال اکتوبر ۱۹ نوموي. د Pera بلاګ پوسټ او د Hacken مطالعه دواړه د نومبر په ۱۰مه خپرې شوې.

د بیاکتل شوو لیست څلور زېرمې لري او کوم د براوزر extension نه لري. سره له دې، د Pera کور پاڼه یو له هغو اعلانوي چې 'Pera اوس ستاسو په براوزر کې دی⁶' لیکل شوي.

څه وموندل شول

د Hacken مطالعه ۲۱⁷ موندنې راپور کوي او وایي چې د بیاکتنې په جریان کې کومه جدي کچې ستونزه ونه موندل شوه. د هغې د سمونونو حساب ۱۶⁸ موندنې حل شوې، ۴⁹ منل شوې او ۱¹⁰ کمزورې شوې ښیي. Hacken همدارنګه د څلورو زېرمو لپاره د څانګې پوښښ له لوړو ۶۰مو کلونو څخه تر ۱۰۰¹¹٪ پورې د هرې بستې لپاره ثبتوي، چې ډېری امنیتي اړوندې بستې د ۸۰¹² او ۹۷٪ ترمنځ دي.

د Pera بلاګ پوسټ چې هماغه ورځ خپور شو وایي بیاکتنه 'د ۲۰۲۶ کال اکتوبر کې پای ته ورسېده¹³' او 'هره موندل شوې ستونزه له هغه وروسته حل شوې ده¹⁴'. زیاتوي: 'کومه جدي زیانمنونکې نه وه موندل شوې، او ټولې موندل شوې ستونزې حل شوې دي.¹⁵' نو د Pera 'حل شوې' د سمونونو، یوه کمزورولو او څلورو موندنو چې هماغسې ومنل شوې، ټول پوښي.

یوازینۍ لوړه موندنه

یوه ستونزه لوړ ریټنګ درلود، او ځکه چې یوازې کاروونکی کیلي ساتي، په دې پوړ کې کمزوري د سرور خوا کوم ملاتړ نه لري. Hacken دا موندنه په شریک شوې کیسټور بسته کې یو نه کارول شوی مرستندوی بولي، نه په Pera Wallet د تولیدي کاري بهیرونو کې فعال. مرستندوی خپله کوډپوهنه له یوه ارزښت څخه اخیستې وه چې پټ نه دی، نو هر څوک چې هغه ارزښت ولري کولای شي کیلي بیا جوړه او کوډ پرانیزي. د راپور یادښت زیاتوي چې له Pera پرته نور هغه پروژې چې پر شریکې بستې جوړې دي کولای شي اغېزمن کوډ وکاروي. Hacken وایي ستونزه هماغه ورځ چې راپور شوه بستې ساتونکي ته ورسېده. Pera د سمون غوښتنې (pull requests) له هرې موندنې سره نښلولې وې، شاوخوا دوه اونۍ مخکې له دې چې د سمونونو موده پای ته ورسېږي.

دا تشریح د هغو کسانو لپاره مهمه ده چې غواړي لوړ ریټنګ د ټول اپلیکیشن لپاره خطر وګڼي. بیاکتونکی نیمګړتیا د Pera اپلیکیشن له لارو بهر ځای پرځای کوي، په هغه کوډ کې چې نورې بټوې او پروژې یې شریکې دي.

موندنې چېرته ډېرې وې

د Hacken لنډیز د بیاکتنې ډېره برخه د passkeys او WebAuthn د کارونې پر شاوخوا راګرځوي. راپور یې یوه Android لاره لیستوي چې یو relying party ته وویل کاروونکی تصدیق شوی، په داسې حال کې چې کوم بایومیټریک غوښتنلیک نه و چلول شوی. د پاکولو کوډ لیستوي چې کولای شي د بټوې ټول شریک کیسټور نومځای له منځه یوسي، نه یوازې هغه ننوتنې چې passkeys یې لري. او یو ټاکونکی اشتقاق لیستوي چې د حساب پر ښکاره نوم ولاړ دی نه پر هغې باثباته WebAuthn کاروونکي پېژندنې، نو دوه حسابونه چې یو نوم شریکوي کولای شي په یوه کیلي موادو کې ځای پرځای شي. د دې وروستی هغه د څلورو منل شوو موندنو په ډله کې دی، له یوې کتنې سره چې د PIN د بیا هڅې بندښت څنګه وخت ساتي.

دا سطح د بټوې تر ټولو نوي ډول ته اړه لري. د Pera د passkeys لارښود¹⁶، چې د ۲۰۲۶ کال اکتوبر ۲۸ تازه شو، وایي passkeys یوازې د Universal Wallets لپاره شته، نه د پخوانیو Algo25 بټوو لپاره. هغه له Universal Wallet څخه اخیستل کیږي او پر وسیله ذخیره کیږي، او لارښود وایي د Liquid Auth پروتوکول ملاتړ 'ژر راځي'. یو Universal Wallet تر ۵۰ حسابونو پورې له یوې ۲۴¹⁷-کلمې BIP-39 جملې اخلې. نو د بیاکتنې تر ټولو ژوره برخه د بټوې هغه ډول ته اړه لري چې passkeys کاروي، او یوازې هغو ساتونکو ته چې هغه یې جوړې کړې دي.

بیاکتنه چا وکړه

Pera دا کار سپارلی و: د Hacken مطالعه Pera Wallet د Algorand یو affiliate بولي چې Hacken یې ګمارلی و ترڅو د هغې بټوه اپلیکیشن او لاندې د کیلي ساتنې او passkey زیربنا ارزونه وکړي. 'خپلواک' هغه څوک ښیي چې کار یې کړی، نه هغه څوک چې غوښتی یې دی.

د Pera د انجینرۍ مشر Will Beaumont په مطالعه کې د دې په اړه نقل شوی چې بیاکتنه ولې مهمه وه. هغه وویل کوډ باید د Pera خپلو امنیتي انجینرانو سربېره د بهرنیو متخصصینو لخوا هم وڅیړل شي.

لوستونکی اوس څه وکړي

Pera وایي بیاکتل شوې نسخه هغه ده چې پلورنځیو کې ده، نو د ساتونکي لپاره ګام د اپلیکیشن پلورنځي تازه کول دي. هر څوک چې غواړي بیاکتنه پخپله وګوري کولای شي راپور پرانیزي، چې هره موندنه د هغې د کچې او حالت سره لیستوي.

21

موندل شوې موندنې

16

حل شوې

4

منل شوې

1

کمزورې شوې

• موندل شوې موندنې: 21.
• حل شوې: 16.
• منل شوې: 4.
• کمزورې شوې: 1.

سرچینې

• P……¹⁸
• Pera Wallet د Hacken سره خپلواکه امنیتي بیاکتنه بشپړه کړه | د Pera Wallet لخوا | نومبر…⁴
• Hacken د Pera Wallet د Algorand بټوې او passkey زیربنا بیاکتنه کوي - Hacken¹⁹
• د Hacken لخوا د Perawallet بیاکتنه⁵
• P……²⁰
• Pera Wallet – په Pera Wallet کې passkeys (Liquid Auth) څنګه جوړ کړو¹⁶
• 3WABxY7 (hackenio.cc)²¹