La revisión de Hacken de Pera Wallet no halla fallos críticos, con un único hallazgo alto en código compartido

Pera Wallet ha publicado una revisión de seguridad independiente de la aplicación móvil que reconstruyó este verano, y el auditor no encontró fallos críticos. Hacken¹ revisó la aplicación, la custodia de sus claves y sus passkeys a lo largo de septiembre y octubre de 2026.

Pera Wallet² es una billetera de Algorand de autocustodia: solo el usuario posee las claves privadas. Su reconstrucción 7.0³ de este verano sustituyó las aplicaciones separadas en Swift y Kotlin por una única base de código en React Native para ambas plataformas.

La revisión es la comprobación cuya ausencia señalábamos en nuestra cobertura de agosto de esa reconstrucción. Se aplicó a la base de código que ambas tiendas distribuyen ahora.

Qué se revisó

El caso práctico de Hacken sitúa la revisión en septiembre y octubre de 2026 y nombra cuatro repositorios. Son la aplicación de billetera en React Native, el paquete base compartido del proveedor de billetera, las extensiones de keystore y de cuenta construidas sobre él, y el módulo nativo de autocompletado de passkeys para Android e iOS. Solo el repositorio de la aplicación es propiedad de Pera. Los otros tres son proyectos de la Algorand Foundation, que es lo que describe la entrada de blog⁴ de Pera cuando afirma que parte del alcance abarcaba infraestructura de código abierto compartida mantenida por Algorand, incluidos componentes que impulsan Rocca Wallet. Rocca es el marco de billeteras de la Foundation sobre el que, según Pera, se construye en parte la versión 7.0. El repositorio de la aplicación es el que produjo la reconstrucción, de modo que una sola revisión cubre ahora ambas plataformas.

El registro de cambios del informe⁵ fecha la versión preliminar el 1 de septiembre de 2026 y el informe final el 19 de octubre de 2026. Tanto la entrada de blog de Pera como el caso práctico de Hacken se publicaron el 10 de noviembre.

La lista auditada contiene cuatro repositorios y ninguna extensión de navegador. Aun así, la página de inicio de Pera promociona una, presentada como 'Pera ya está en tu navegador⁶'.

Qué se encontró

El caso práctico de Hacken informa de 21⁷ hallazgos y afirma que durante la auditoría no se identificaron problemas de severidad crítica. Su recuento de remediaciones marca 16⁸ hallazgos resueltos, 4⁹ aceptados y 1¹⁰ mitigado. Hacken registra además la cobertura de ramas en los cuatro repositorios, desde el entorno del 60 % alto hasta el 100¹¹ % por paquete, con la mayoría de los paquetes relevantes para la seguridad entre el 80¹² y el 97 %.

La entrada de blog de Pera, publicada el mismo día, dice que la auditoría 'concluyó en octubre de 2026¹³' y que 'todos los hallazgos identificados se han resuelto desde entonces¹⁴'. Añade: 'No se encontraron vulnerabilidades críticas y todos los hallazgos identificados se han atendido.¹⁵' El término 'atendido' de Pera abarca, por tanto, las correcciones, una mitigación y cuatro hallazgos aceptados tal como están.

El único hallazgo de severidad alta

Un problema recibió una calificación alta y, dado que solo el usuario posee las claves, una debilidad en esta capa no tiene respaldo del lado del servidor. Hacken describe el hallazgo como un helper sin uso en el paquete de keystore compartido, no activo en los flujos de producción de Pera Wallet. El helper derivaba su clave de cifrado a partir de un valor que no es secreto, de modo que cualquiera que tuviera ese valor podría reproducir la clave y descifrar. Otros proyectos distintos de Pera que se construyen sobre el paquete compartido pueden invocar el código afectado, añade la nota del informe. Hacken señala que el problema se escaló al mantenedor del paquete el mismo día en que se planteó. Pera tenía pull requests de remediación vinculados a cada hallazgo aproximadamente dos semanas antes de que se cerrara el plazo de remediación.

Esa descripción importa para quien se sienta tentado de leer la calificación alta como una alarma para toda la aplicación. El auditor sitúa el fallo fuera de las rutas que ejecuta la aplicación de Pera, en código que comparten otras billeteras y proyectos.

Dónde se concentraron los hallazgos

El resumen de Hacken agrupa buena parte de la revisión en torno al manejo de passkeys y WebAuthn. Su informe enumera una ruta en Android que indicaba a una parte usuaria que el usuario había sido verificado cuando no se había ejecutado ningún aviso biométrico. Enumera código de limpieza que podía borrar todo el espacio de nombres compartido del keystore de la billetera en lugar de solo las entradas propias de las passkeys. Y enumera una derivación determinista basada en el nombre visible de una cuenta en lugar de en su identificador de usuario WebAuthn estable, de modo que dos cuentas con el mismo nombre podían acabar con el mismo material de clave. El último de ellos figura entre los cuatro hallazgos aceptados, junto con una observación sobre cómo cuenta el tiempo el bloqueo por reintentos del PIN.

Esa superficie corresponde al tipo de billetera más reciente. La guía de passkeys¹⁶ de Pera, actualizada el 28 de octubre de 2026, indica que las passkeys solo están disponibles para Universal Wallets, no para las billeteras Algo25 heredadas. Se derivan de la Universal Wallet y se almacenan en el dispositivo, y la guía señala que el soporte del protocolo Liquid Auth llegará 'próximamente'. Una Universal Wallet obtiene hasta 50 cuentas de una frase BIP-39 de 24¹⁷ palabras. Así pues, la parte más profunda de la revisión afecta al tipo de billetera que usa passkeys, y solo a aquellos usuarios que las han configurado.

Quién hizo la revisión

Pera encargó el trabajo: el caso práctico de Hacken describe Pera Wallet como una filial de Algorand que contrató a Hacken para evaluar su aplicación de billetera y la infraestructura de custodia de claves y de passkeys que hay debajo. 'Independiente' describe quién hizo el trabajo, no quién lo solicitó.

Will Beaumont, responsable de ingeniería de Pera, explica en el caso práctico por qué importaba la revisión. Dijo que el código debía ser examinado tanto por expertos externos como por los propios ingenieros de seguridad de Pera.

Qué hace ahora el lector

Pera afirma que la versión auditada es la que está en las tiendas, así que el paso para un usuario es actualizar desde la tienda de aplicaciones. Quien quiera valorar la revisión por sí mismo puede abrir el informe, que enumera cada hallazgo con su severidad y su estado.

21

Hallazgos identificados

16

Resueltos

4

Aceptados

1

Mitigados

• Hallazgos identificados: 21.
• Resueltos: 16.
• Aceptados: 4.
• Mitigados: 1.

Fuentes

• P……¹⁸
• Pera Wallet completa una auditoría de seguridad independiente con Hacken | por Pera Wallet | nov…⁴
• Hacken audita la billetera de Algorand y la infraestructura de passkeys de Pera Wallet - Hacken¹⁹
• Auditoría de Perawallet por Hacken⁵
• P……²⁰
• Pera Wallet – Cómo configurar passkeys (Liquid Auth) en Pera Wallet¹⁶
• 3WABxY7 (hackenio.cc)²¹