新发现的安卓漏洞可能危及加密钱包助记词和2FA验证码
最新研究发现,安卓系统存在一个名为"Pixnapping"的新型漏洞,恶意应用可通过该漏洞窃取其他应用程序显示的内容,包括加密货币钱包的助记词、双重验证(2FA)代码等重要信息。
漏洞运作原理
研究报告指出,这种攻击方式"能够绕过所有浏览器防护措施,甚至可以从非浏览器应用中窃取机密信息"。攻击者利用安卓应用程序接口(API),通过计算其他应用显示的特定像素内容来实现数据窃取。
该攻击并非简单请求获取其他应用的显示内容,而是通过堆叠多个由攻击者控制的半透明活动界面,仅保留目标像素点,再通过操纵该像素颜色来主导画面帧。通过重复这一过程并精确计时画面渲染,恶意软件最终能重构屏幕显示的机密信息。
高风险信息面临威胁
加密货币钱包的助记词是最容易受到攻击的高敏感信息之一,因为用户通常需要长时间将其显示在屏幕上进行抄写。研究团队在Google Pixel系列设备上对2FA验证码进行了攻击测试:
测试结果显示,在Pixel 6、7、8、9设备上,攻击能分别以73%、53%、29%和53%的成功率完整获取6位2FA验证码。平均获取时间分别为14.3秒、25.8秒、24.9秒和25.3秒。
虽然完整获取12个单词的助记词需要更长时间,但只要用户在抄写过程中保持助记词显示状态,这种攻击仍然具有可行性。
厂商应对措施
该漏洞已在运行安卓13至16系统的五款设备上测试验证,包括Google Pixel 6至9系列和三星Galaxy S25。研究人员表示,由于利用的API广泛存在,其他安卓设备同样面临风险。
Google最初尝试通过限制应用同时模糊处理的活动数量来修复漏洞,但研究人员发现仍存在规避方法。截至10月13日,研究团队仍在与Google和三星就漏洞披露时间表及修复方案进行协调。
安全防护建议
最直接的防护措施是避免在安卓设备上显示助记词等高敏感信息。更安全的做法是避免在任何联网设备上显示恢复信息。
使用硬件钱包是有效的解决方案。这类专用密钥管理设备能在计算机或智能手机外部签署交易,全程不暴露私钥或助记词。正如安全研究员Vladimir S在相关讨论中强调的:"切勿使用手机保护加密货币资产,请使用硬件钱包!"

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
新闻
文章
大V快讯
财经日历
专题
ETF追踪
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
索拉纳ETF
大额转账
链上异动
比特币回报率
稳定币市值
合约计算器
期权分析
账号安全
资讯收藏
自选币种
我的关注