Проверка Pera Wallet от Hacken не выявила критических уязвимостей, одна проблема уровня High — в общем коде

Pera Wallet опубликовала результаты независимой проверки безопасности мобильного приложения, переработанного минувшим летом, и аудитор не нашёл критических уязвимостей. Hacken¹ изучала приложение, хранение ключей и passkeys в сентябре и октябре 2026 года.

Pera Wallet² — некастодиальный кошелёк Algorand: приватные ключи хранятся только у пользователя. В ходе переработки до версии 7.0³ этим летом отдельные приложения на Swift и Kotlin заменили единой кодовой базой на React Native для обеих платформ.

Эта проверка — тот самый аудит, отсутствие которого отметил наш материал о переработке в августе. Она охватила кодовую базу, которую сейчас распространяют оба магазина приложений.

Что проверяли

В описании кейса Hacken указывает, что проверка проводилась в сентябре и октябре 2026 года, и называет четыре репозитория: приложение-кошелёк на React Native, общий базовый пакет wallet-provider, расширения хранилища ключей и аккаунтов, построенные на нём, а также нативный модуль автозаполнения passkeys для Android и iOS. Собственным репозиторием Pera является только приложение. Остальные три — проекты Algorand Foundation; именно это имеет в виду блог Pera⁴, когда пишет, что часть объёма пришлась на общую открытую инфраструктуру, которую поддерживает Algorand, включая компоненты, на которых работает Rocca Wallet. Rocca — кошелёчный фреймворк Foundation, на котором, по словам Pera, частично построена версия 7.0. Репозиторий приложения — тот, что появился в результате переработки, поэтому одна проверка теперь охватывает обе платформы.

В истории изменений отчёта⁵ предварительная версия датирована 1 сентября 2026 года, а финальный отчёт — 19 октября 2026 года. Пост в блоге Pera и описание кейса Hacken появились 10 ноября.

В проверенном списке четыре репозитория и ни одного браузерного расширения. При этом на главной странице Pera рекламируется расширение для браузера с лозунгом «Pera Is Now in Your Browser⁶».

Что нашли

В описании кейса Hacken сообщает о 21⁷ находке и указывает, что критических уязвимостей в ходе аудита не выявлено. По данным об устранении, 16⁸ находок закрыты, 4⁹ приняты, 1¹⁰ смягчена. Hacken также приводит покрытие ветвей кода по четырём репозиториям — от верхней границы 60-х до 100¹¹% по каждому пакету, причём в большинстве пакетов, значимых для безопасности, оно составляет от 80¹² до 97%.

В посте блога Pera, опубликованном в тот же день, говорится, что аудит «завершился в октябре 2026 года¹³» и что «каждая выявленная находка с тех пор устранена¹⁴». Там же сказано: «Критических уязвимостей не обнаружено, все выявленные находки проработаны.¹⁵» Таким образом, формулировка Pera «проработаны» охватывает исправления, одно смягчение и четыре находки, принятые без изменений.

Единственная находка уровня High

Одна проблема получила оценку High, а поскольку ключи хранятся только у пользователя, у слабости в этом слое нет серверной подстраховки. Hacken описывает находку как неиспользуемый вспомогательный компонент в общем пакете хранилища ключей, не задействованный в рабочих процессах Pera Wallet. Этот компонент выводил ключ шифрования из значения, которое не является секретным, поэтому любой, у кого есть это значение, мог воспроизвести ключ и расшифровать данные. По замечанию из отчёта, затронутый код могут вызывать и другие проекты, помимо Pera, которые строятся на общем пакете. Hacken сообщает, что об этой проблеме в тот же день уведомили сопровождающего пакета. Примерно за две недели до закрытия окна устранения Pera уже привязала к каждой находке пул-реквесты с исправлениями.

Такая формулировка важна для тех, кто склонен воспринимать оценку High как сигнал тревоги по всему приложению. Аудитор относит недостаток за пределы путей, которые выполняет приложение Pera, — в код, общий для других кошельков и проектов.

Где сосредоточились находки

В своём резюме Hacken относит значительную часть проверки к работе с passkeys и WebAuthn. В отчёте упоминается путь в Android, при котором проверяющая сторона получала сведения о том, что пользователь подтвердил личность, хотя запрос биометрии не запускался. Там же указан код очистки, способный стереть всё общее пространство имён хранилища ключей кошелька, а не только записи, принадлежащие passkeys. Кроме того, упоминается детерминированный вывод ключа на основе отображаемого имени аккаунта, а не его стабильного идентификатора пользователя WebAuthn, из-за чего два аккаунта с одинаковым именем могли получить один и тот же ключевой материал. Последняя из этих находок входит в число четырёх принятых, вместе с замечанием о том, как блокировка по числу попыток ввода PIN отсчитывает время.

Эта область относится к самому новому типу кошелька. В руководстве Pera по passkeys¹⁶, обновлённом 28 октября 2026 года, сказано, что passkeys доступны только для Universal Wallets, но не для устаревших Algo25. Они выводятся из Universal Wallet и хранятся на устройстве, а поддержка протокола Liquid Auth, по словам руководства, «скоро появится». Universal Wallet формирует до 50 аккаунтов из одной фразы BIP-39 длиной 24¹⁷ слова. Таким образом, самая глубокая часть проверки касается типа кошелька, который использует passkeys, и только тех держателей, кто их настроил.

Кто проводил проверку

Работу заказала Pera: в описании кейса Hacken называет Pera Wallet аффилированной структурой Algorand, которая привлекла Hacken для оценки своего кошелька и лежащей в его основе инфраструктуры хранения ключей и passkeys. Слово «независимая» говорит о том, кто выполнял работу, а не о том, кто её заказал.

В описании кейса приводится мнение Уилла Бомонта (Will Beaumont), руководителя инженерного направления Pera, о том, почему проверка была важна. Он сказал, что код должны проверять не только собственные инженеры по безопасности Pera, но и внешние эксперты.

Что делать читателю

Pera утверждает, что в магазинах приложений размещена именно проверенная сборка, поэтому держателю достаточно обновить приложение через магазин. Тот, кто хочет сам оценить проверку, может открыть отчёт, где каждая находка указана с её уровнем серьёзности и статусом.

21

Выявлено находок

16

Устранено

4

Принято

1

Смягчено

• Выявлено находок: 21.
• Устранено: 16.
• Принято: 4.
• Смягчено: 1.

Источники

• P……¹⁸
• Pera Wallet Completes Independent Security Audit with Hacken | by Pera Wallet | Nov…⁴
• Hacken Audits Pera Wallet's Algorand Wallet and Passkey Infrastructure - Hacken¹⁹
• Perawallet audit by Hacken⁵
• P……²⁰
• Pera Wallet – How to Set Up Passkeys (Liquid Auth) in Pera Wallet¹⁶
• 3WABxY7 (hackenio.cc)²¹