自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

安卓版Unity存在漏洞恐致钱包缩水?速查方法在此

2025-10-04 04:39:51
收藏

Unity引擎构建的加密与游戏应用面临安全漏洞风险

使用Unity引擎开发的加密货币和游戏应用正面临一项安全威胁——已存在于设备上的恶意应用可通过漏洞诱导存在缺陷的Unity应用加载敌对代码。

漏洞详情与影响范围

Unity于10月2日披露编号为CVE-2025-59489的漏洞,指出在Android平台上,攻击代码能以游戏自身权限运行,实现本地代码执行;而在桌面平台主要表现为权限提升风险。官方表示尚未发现野外利用证据,但强烈建议立即更新。

该漏洞会强制Unity运行时接受特定预初始化参数,这些参数会改变原生库的搜索路径。若攻击者控制该路径,Unity应用可能加载并执行攻击者的库。安全公司GMO Flatt分析指出,该产品会盲目信任外部或攻击者影响路径下的资源。

潜在危害场景

众多Unity应用集成了钱包SDK、托管登录或WalletConnect式会话。注入的代码可读取应用私有文件、劫持WebView、调用签名API或窃取会话令牌。虽然代码无法突破沙箱影响其他钱包应用,但存在漏洞的Unity应用可能持有密钥或通过Android Keystore请求签名,使攻击者可借机执行授权操作。

Unity公告特别强调,影响范围仅限于应用自身权限,而这恰恰是游戏内置钱包所依赖的权限级别。

检测与防护措施

用户自查:

• 检查应用商店页面更新日期:Android平台上,若游戏或钱包类应用在10月2日或之后有更新,开发者可能已使用修复版Unity编辑器重新构建
• 早期版本在更新前应视为潜在风险源
• 保持Play Protect开启状态,避免侧载应用,及时清理可疑应用

开发者建议:

• 核对当前使用的Unity编辑器版本,与官方修复版本表比对
• 已修复版本包括:6000.0.58f2(Unity 6 LTS)、2022.3.67f2及2021.3.56f2
• 对2019.1之后已停止支持的版本流,Unity也发布了首个修复标签

纵深防御策略

即使完成补丁更新,用户仍需采取防御性措施:

• 绝不存储明文助记词
• 为每笔交易启用生物识别验证
• 利用Android Keystore存储需用户确认的签名密钥
• 断开残留的WalletConnect会话
• 在开发者确认修复版本上线前,将大额资产保留在硬件钱包

这些措施能有效降低潜在攻击的影响范围。尽管CVE-2025-59489危害严重,但现有修复方案明确,用户和开发者遵循指引即可保障安全。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻