Hacken 对 Pera Wallet 的审查未发现严重缺陷，共享代码中有一项高危问题

Pera Wallet 已发布对其今年夏天重构的移动应用的独立安全审查报告，审计方未发现严重缺陷。Hacken¹ 在 2026 年 9 月和 10 月期间审查了该应用、其密钥托管及通行密钥。

Pera Wallet² 是一款自托管 Algorand 钱包：私钥仅由用户自己持有。今年夏天的 7.0³ 重构将原先独立的 Swift 和 Kotlin 应用替换为两个平台共用的单一 React Native 代码库。

此次审查正是我们八月对那次重构的报道中提到缺失的环节。审查针对的是两个应用商店目前运行的代码库。

审查范围

Hacken 的案例研究将审查时间定为 2026 年 9 月和 10 月，并列出了四个代码库。它们分别是 React Native 钱包应用、共享的钱包提供程序基础包、基于该基础包构建的密钥库和账户扩展，以及面向 Android 和 iOS 的原生通行密钥自动填充模块。只有应用代码库是 Pera 自己的。另外三个是 Algorand 基金会的项目，这正是 Pera 的博客文章⁴所描述的：部分范围涵盖由 Algorand 维护的共享开源基础设施，包括为 Rocca Wallet 提供支持的组件。Rocca 是基金会的钱包框架，Pera 称 7.0 部分基于它构建。应用代码库是重构的产物，因此一次审查现在覆盖了两个平台。

报告⁵的变更日志将初步版本定为 2026 年 9 月 1 日，最终报告为 2026 年 10 月 19 日。Pera 的博客文章和 Hacken 的案例研究均于 11 月 10 日发布。

被审计的列表包含四个代码库，没有浏览器扩展。Pera 的主页却仍在推广一个，标榜“Pera 现已登陆你的浏览器⁶”。

发现内容

Hacken 的案例研究报告了 21⁷ 项发现，并声明审计期间未发现严重级别的问题。其修复统计显示，16⁸ 项发现已解决，4⁹ 项被接受，1¹⁰ 项已缓解。Hacken 还记录了四个代码库的分支覆盖率，每个包从 60% 多到 100¹¹% 不等，大多数安全相关包在 80¹²% 到 97% 之间。

Pera 同日发布的博客文章称，审计“于 2026 年 10 月完成¹³”，并且“此后所有已识别的发现均已解决¹⁴”。文章还补充道：“未发现严重漏洞，所有已识别的发现均已处理。¹⁵”因此，Pera 所说的“已处理”涵盖了修复、一项缓解以及四项按原样接受的发现。

唯一的高危发现

有一个问题被评为高危，而且由于用户独自持有密钥，这一层的弱点没有服务器端的后备保障。Hacken 将该发现描述为共享密钥库包中一个未使用的辅助函数，并未在 Pera Wallet 的生产工作流中激活。该辅助函数从一个非机密值派生加密密钥，因此任何持有该值的人都能重现密钥并解密。报告注释补充说，除 Pera 外，基于该共享包构建的其他项目也可以调用受影响的代码。Hacken 表示，该问题在提出的当天就升级给了包维护者。在修复窗口关闭前约两周，Pera 已为每项发现关联了修复拉取请求。

这一描述对于任何可能将高危评级解读为全应用警报的人来说都很重要。审计方将缺陷置于 Pera 应用运行路径之外，即其他钱包和项目共享的代码中。

发现集中在哪里

Hacken 的总结将审查的很大一部分集中在通行密钥和 WebAuthn 处理上。其报告列出了一个 Android 路径，该路径在未运行生物识别提示的情况下告知依赖方用户已验证。报告还列出了清理代码，该代码可能清除钱包的整个共享密钥库命名空间，而不仅仅是通行密钥拥有的条目。此外，报告还列出了一个确定性派生，该派生基于账户的显示名称而非其稳定的 WebAuthn 用户句柄，因此两个同名账户可能落到相同的密钥材料上。最后一项是四项被接受的发现之一，另一项是关于 PIN 重试锁定如何计时的观察。

这一表面属于最新的钱包类型。Pera 的通行密钥指南¹⁶（更新于 2026 年 10 月 28 日）称，通行密钥仅适用于通用钱包，不适用于旧版 Algo25 钱包。它们从通用钱包派生并存储在设备上，指南称 Liquid Auth 协议支持“即将推出”。一个通用钱包从一个 24¹⁷ 词 BIP-39 助记词中最多派生 50 个账户。因此，审查中最深入的部分涉及使用通行密钥的钱包类型，且仅涉及那些已设置通行密钥的持有者。

审查方是谁

Pera 委托了这项工作：Hacken 的案例研究称 Pera Wallet 是 Algorand 的附属机构，委托 Hacken 评估其钱包应用及其底层的密钥托管和通行密钥基础设施。“独立”描述的是谁做了这项工作，而不是谁要求做的。

Pera 工程主管 Will Beaumont 在案例研究中谈到了审查为何重要。他表示，代码除了应由 Pera 自己的安全工程师审查外，还应由外部专家审查。

读者现在该做什么

Pera 表示，已审计的版本就是应用商店中的版本，因此持有者只需进行应用商店更新。任何想自行评估审查的人可以打开报告，其中列出了每项发现及其严重性和状态。

21

已识别发现

16

已解决

4

已接受

1

已缓解

• 已识别发现: 21.
• 已解决: 16.
• 已接受: 4.
• 已缓解: 1.

来源

• P……¹⁸
• Pera Wallet 完成 Hacken 的独立安全审计 | 作者：Pera Wallet | 11月…⁴
• Hacken 审计 Pera Wallet 的 Algorand 钱包和通行密钥基础设施 - Hacken¹⁹
• Hacken 对 Perawallet 的审计⁵
• P……²⁰
• Pera Wallet – 如何在 Pera Wallet 中设置通行密钥（Liquid Auth）¹⁶
• 3WABxY7 (hackenio.cc)²¹