Hacken की Pera Wallet समीक्षा में कोई गंभीर खामी नहीं मिली, साझा कोड में एक High दर्ज
10 नवंबर को प्रकाशित Hacken की समीक्षा में Pera Wallet के नए ऐप की 21 खामियों में कोई गंभीर समस्या नहीं पाई गई; एकमात्र High खामी साझा keystore पैकेज में है, जो Pera के ऐप पाथ से बाहर है। उपयोगकर्ता ऐप स्टोर से ऑडिट किए गए बिल्ड में अपडेट कर सकते हैं।
Pera Wallet ने इस गर्मी में फिर से बनाए गए अपने मोबाइल ऐप की एक स्वतंत्र सुरक्षा समीक्षा प्रकाशित की है, और ऑडिटर को इसमें कोई गंभीर खामी नहीं मिली। Hacken1 ने सितंबर और अक्टूबर 2026 के दौरान ऐप, उसकी कुंजी सुरक्षा और पासकीज़ की समीक्षा की।
Pera Wallet2 एक स्व-अभिरक्षा वाला Algorand वॉलेट है, यानी निजी कुंजियाँ केवल उपयोगकर्ता के पास रहती हैं। इस गर्मी में इसके 7.03 पुनर्निर्माण ने अलग-अलग Swift और Kotlin ऐप की जगह दोनों प्लेटफ़ॉर्म के लिए एक ही React Native कोडबेस अपनाया।
यह समीक्षा वही जाँच है जिसकी कमी हमने उस पुनर्निर्माण पर अगस्त की अपनी कवरेज में रेखांकित की थी। यह उसी कोडबेस पर आई है जिसे अब दोनों स्टोर चला रहे हैं।
किस चीज़ की समीक्षा हुई
Hacken के केस स्टडी में समीक्षा की तारीखें सितंबर और अक्टूबर 2026 बताई गई हैं और चार रिपॉज़िटरी के नाम दिए गए हैं। ये हैं React Native वॉलेट ऐप, साझा wallet-provider बेस पैकेज, उस पर बने keystore और account एक्सटेंशन, तथा Android और iOS के लिए नेटिव पासकी ऑटोफ़िल मॉड्यूल। इनमें से केवल ऐप रिपॉज़िटरी Pera की अपनी है। बाकी तीन Algorand Foundation की परियोजनाएँ हैं, और Pera की ब्लॉग पोस्ट4 में जब यह कहा गया है कि दायरे के एक हिस्से में Algorand द्वारा अनुरक्षित साझा ओपन-सोर्स ढाँचा शामिल था, जिसमें Rocca Wallet को चलाने वाले घटक भी हैं, तो वह इन्हीं की ओर इशारा करती है। Rocca Foundation का वॉलेट फ़्रेमवर्क है, जिस पर Pera के अनुसार 7.0 आंशिक रूप से बना है। ऐप रिपॉज़िटरी वही है जो पुनर्निर्माण से बनी, इसलिए अब एक ही समीक्षा दोनों प्लेटफ़ॉर्म को कवर करती है।
रिपोर्ट5 के चेंजलॉग में प्रारंभिक संस्करण की तारीख 1 सितंबर 2026 और अंतिम रिपोर्ट की तारीख 19 अक्टूबर 2026 दी गई है। Pera की ब्लॉग पोस्ट और Hacken की केस स्टडी दोनों 10 नवंबर को प्रकाशित हुईं।
ऑडिट की सूची में चार रिपॉज़िटरी हैं और कोई ब्राउज़र एक्सटेंशन नहीं। फिर भी Pera का होम पेज एक ब्राउज़र एक्सटेंशन का प्रचार करता है, जिसे 'Pera Is Now in Your Browser6' कहकर पेश किया गया है।
क्या पाया गया
Hacken की केस स्टडी में 217 खामियाँ बताई गई हैं और कहा गया है कि ऑडिट के दौरान गंभीर स्तर की कोई समस्या नहीं मिली। इसके निवारण ब्यौरे में 168 खामियाँ हल बताई गई हैं, 49 स्वीकार की गई हैं और 110 का निवारण किया गया है। Hacken ने चारों रिपॉज़िटरी में ब्रांच कवरेज प्रति पैकेज 60 के दशक के उच्च स्तर से लेकर 10011% तक दर्ज किया है, और अधिकांश सुरक्षा-संबंधी पैकेज 8012 से 97% के बीच हैं।
उसी दिन प्रकाशित Pera की ब्लॉग पोस्ट कहती है कि ऑडिट 'अक्टूबर 2026 में पूरा हुआ13' और 'तब से पहचानी गई हर खामी का समाधान हो चुका है14'। इसमें आगे कहा गया है: 'कोई गंभीर भेद्यता नहीं मिली, और पहचानी गई सभी खामियों का समाधान किया गया है।15' इसलिए Pera का 'समाधान' सुधारों, एक निवारण और यथावत स्वीकार की गई चार खामियों, सबको कवर करता है।
एकमात्र High खामी
एक समस्या को High रेटिंग मिली, और चूँकि कुंजियाँ केवल उपयोगकर्ता के पास होती हैं, इस परत की किसी कमज़ोरी के लिए सर्वर-पक्ष पर कोई सुरक्षा कवच नहीं है। Hacken इस खामी को साझा keystore पैकेज में एक अप्रयुक्त हेल्पर बताता है, जो Pera Wallet के प्रोडक्शन वर्कफ़्लो में सक्रिय नहीं है। वह हेल्पर अपनी एन्क्रिप्शन कुंजी किसी ऐसी वैल्यू से निकालता था जो गोपनीय नहीं है, इसलिए जिसके पास वह वैल्यू होती, वह कुंजी दोबारा बनाकर डिक्रिप्ट कर सकता था। रिपोर्ट के नोट में यह भी जोड़ा गया है कि साझा पैकेज पर बनने वाली Pera के अलावा अन्य परियोजनाएँ भी प्रभावित कोड को कॉल कर सकती हैं। Hacken के अनुसार, यह मुद्दा उठाए जाने के उसी दिन पैकेज के अनुरक्षक तक पहुँचा दिया गया था। निवारण अवधि बंद होने से लगभग दो सप्ताह पहले ही Pera के पास हर खामी से जुड़े सुधारक पुल रिक्वेस्ट मौजूद थे।
यह विवरण उन लोगों के लिए मायने रखता है जो High रेटिंग को पूरे ऐप के लिए खतरे की घंटी समझ बैठें। ऑडिटर इस खामी को Pera के ऐप के चलने वाले पाथ से बाहर, उस कोड में रखता है जो अन्य वॉलेट और परियोजनाएँ साझा करती हैं।
खामियाँ कहाँ केंद्रित थीं
Hacken का सारांश समीक्षा का बड़ा हिस्सा पासकीज़ और WebAuthn के संचालन के इर्द-गिर्द समेटता है। इसकी रिपोर्ट में एक Android पाथ का ज़िक्र है जो रिलाइंग पार्टी को बताता था कि उपयोगकर्ता सत्यापित हो चुका है, जबकि कोई बायोमेट्रिक प्रॉम्प्ट चला ही नहीं था। इसमें ऐसे क्लीनअप कोड का भी उल्लेख है जो वॉलेट के पूरे साझा keystore नेमस्पेस को मिटा सकता था, न कि केवल उन्हीं प्रविष्टियों को जो पासकीज़ की हैं। और इसमें एक नियतात्मक व्युत्पत्ति का ज़िक्र है जो खाते के स्थिर WebAuthn यूज़र हैंडल के बजाय उसके प्रदर्शित नाम पर आधारित थी, जिससे एक ही नाम वाले दो खाते एक ही कुंजी सामग्री पर पहुँच सकते थे। इनमें से अंतिम खामी उन चार स्वीकार की गई खामियों में शामिल है, साथ ही PIN पुनःप्रयास लॉकआउट के समय-संचालन पर एक टिप्पणी भी।
यह क्षेत्र सबसे नए प्रकार के वॉलेट का है। 28 अक्टूबर 2026 को अद्यतन Pera की पासकी गाइड16 कहती है कि पासकीज़ केवल Universal Wallets के लिए उपलब्ध हैं, पुराने Algo25 वॉलेट के लिए नहीं। ये Universal Wallet से व्युत्पन्न होकर डिवाइस पर संग्रहीत होती हैं, और गाइड के अनुसार Liquid Auth प्रोटोकॉल का समर्थन 'जल्द आ रहा है'। एक Universal Wallet एक 2417-शब्दों वाले BIP-39 वाक्यांश से 50 खातों तक बनाता है। इसलिए समीक्षा का सबसे गहरा हिस्सा उसी वॉलेट प्रकार से जुड़ा है जो पासकीज़ का उपयोग करता है, और केवल उन्हीं उपयोगकर्ताओं से जिन्होंने इन्हें सेट किया है।
समीक्षा किसने की
यह काम Pera ने करवाया: Hacken की केस स्टडी Pera Wallet को Algorand से संबद्ध बताती है, जिसने अपने वॉलेट ऐप और उसके नीचे की कुंजी-सुरक्षा तथा पासकी ढाँचे के आकलन के लिए Hacken को नियुक्त किया। 'स्वतंत्र' यह बताता है कि काम किसने किया, यह नहीं कि किसने माँगा।
Pera के इंजीनियरिंग प्रमुख Will Beaumont का केस स्टडी में हवाला दिया गया है कि यह समीक्षा क्यों ज़रूरी थी। उन्होंने कहा कि कोड की जाँच Pera के अपने सुरक्षा इंजीनियरों के साथ-साथ बाहरी विशेषज्ञों से भी होनी चाहिए।
अब पाठक क्या करें
Pera का कहना है कि स्टोर पर मौजूद बिल्ड ही ऑडिट किया गया बिल्ड है, इसलिए उपयोगकर्ता के लिए कदम ऐप स्टोर से अपडेट करना है। जो लोग समीक्षा को स्वयं परखना चाहें, वे रिपोर्ट खोल सकते हैं, जिसमें हर खामी उसकी गंभीरता और स्थिति के साथ दर्ज है।
- पहचानी गई खामियाँ: 21.
- हल की गईं: 16.
- स्वीकार की गईं: 4.
- निवारण किया गया: 1.
स्रोत
इस कहानी के 12 आंकड़े जाँचे गए हैं।हर जाँच देखें