联发科修补漏洞 45秒内可窃取加密种子的隐患被修复_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

联发科修补漏洞 45秒内可窃取加密种子的隐患被修复

2026-03-12 13:46:37

安全事件：联发科芯片的USB漏洞如何暴露种子短语

安全研究人员发现了联发科移动芯片组中的一个缺陷，攻击者只需通过USB将手机连接到电脑，就能从易受攻击的设备中窃取加密种子短语。该漏洞针对安全启动链——一个旨在仅允许授权软件启动设备的安全层。此漏洞由Ledger的白帽安全团队Donjon披露。联发科已于1月5日发布补丁，但尚未更新设备的用户仍面临潜在攻击风险。

在实际攻击中，能物理接触设备的攻击者可以绕过设备保护措施，访问敏感的钱包数据，而无需解锁设备。这凸显了在加密时代，消费级硬件的安全漏洞可能造成的影响范围之广。

研究人员指出，大约四分之一的安卓设备依赖于联发科处理器与Trustonic可信执行环境的组合，该组合被发现尤其易受攻击。Donjon通过将Nothing CMF Phone 1连接到笔记本电脑，并在约45秒内攻破设备安全，演示了概念验证。在最坏情况下，该漏洞利用可恢复手机PIN码、解密存储数据，并从Trust Wallet、Base、Kraken Wallet、Rabby、Tangem Mobile Wallet以及Phantom等流行钱包中提取种子短语，整个过程均无需设备处于主动解锁状态。

研究人员强调用户应立即应用1月补丁，并警告未打补丁的设备仍易遭受基于USB的攻击，此类攻击会绕过安卓系统为防止未经授权的数据访问而设计的防护。有发言人指出，鉴于补丁已发布，且硬件和软件防御能力随时间推移有所提升，预计该问题不会演变为系统性漏洞。更广泛的启示是，移动设备在加密资产管理中日益核心的同时，当其安全架构依赖于通用组件而非专用保护元件时，仍属于高风险领域。

不断演进的移动安全格局

随着加密生态系统持续扩张，移动设备安全面仍备受关注。有评估报告包括一个鲜明的提醒：大量用户将数字资产存储在智能手机上。这不仅仅是关于一次漏洞利用，更是日常设备中便利性与安全性之间的结构性矛盾。

2025年底进行的联发科Dimensity 7300测试结果显示，某些安全措施被绕过，实现了对智能手机的控制。这些发现印证了一个长期存在的观点：智能手机（无论是安卓还是iPhone）本质上难以确保加密使用安全。

有关专家曾多次强调通用芯片（优先考虑便利性）与安全元件（旨在即使在胁迫下也能隔离和保护密钥）之间的底层架构差距。他在随后的帖子中重申了一个反复出现的主题：保护种子短语的最佳实践是依赖于硬件支持的保护，而不是仅仅信任软件。这种观点与安全界的广泛共识一致，即加密密钥应享有与设备其他软件堆栈隔离的安全区域。这对钱包开发者和硬件制造商的影响是明确的：随着欺诈手段的演变，指导钱包设计和用户行为的硬件及威胁模型也必须随之发展。

在移动加密使用快速发展的背景下，此次事件提醒人们，安全不是一次性的修复，而是一项持续的工程挑战。除了部署补丁，用户还必须考虑更广泛的生态系统：保持设备更新、在钱包应用上启用额外保护措施，并持续了解可能损害种子保护的硬件漏洞。这一事件也给制造商和平台提供商提出了关于性能、功能对等性与稳健安全性之间平衡的问题，尤其是在移动设备成为许多用户进入去中心化金融和数字资产世界的主要入口之时。

总体而言，这一事件强化了一个观点：移动加密安全依赖于分层策略：硬件支持的密钥保护、严格的启动时防护、及时的软件更新以及能最小化种子暴露风险的钱包设计。虽然补丁提供了必要的补救措施，但行业面临更广泛的当务之急是强化整个技术堆栈，以确保移动加密管理的便利性不会以牺牲基本安全性为代价。

关键要点

漏洞存在于联发科的安全启动链中，可能允许物理接触设备的攻击者通过USB绕过保护并访问钱包种子。

联发科于1月5日发布了补丁，但未更新的设备仍面临种子被提取及其他数据泄露的风险。

由于联发科处理器与Trustonic可信执行环境的组合，约25%的安卓设备受到影响，增加了种子暴露的潜在攻击面。

在Nothing CMF Phone 1上演示的概念验证在约45秒内即完成攻击，说明了从多个流行钱包提取种子数据的速度之快。

安全观点强调，智能手机本质上难以保证加密安全，硬件支持的保护对于防范物理攻击至关重要。

除了1月的补丁，披露的2025年12月关于MT6878的持续测试报告绕过了某些安全措施，突显了对稳健硬件保护的持续需求。

市场影响与用户应对

对于在移动设备上积极管理加密资产的用户而言，此事件是一个务实的提醒：种子短语是高价值目标，最有效的防御是将硬件支持的密钥保护与严格的软件安全习惯相结合。单一USB连接即可绕过保护层并从多个钱包提取种子数据的事实，使得多样化安全架构的论据更具说服力。钱包开发商可能会通过鼓励或强制要求硬件支持的种子存储、集成更强的认证机制，以及推动跨芯片系列的标准安全启动实践来做出回应。

从市场角度看，该事件并未针对特定资产或交易所，但它确实塑造了围绕移动钱包可用性的风险认知。随着更多用户将加密资产存储在智能手机上，攻击者的潜在收益与部署的设备数量及其上安装的钱包数量同步增长。这种动态加大了芯片制造商、设备制造商和钱包提供商通过架构性保障措施、安全更新机制以及在非理想物理环境下如何保护种子的清晰用户指南进行风险缓解合作的紧迫性。

对于更广泛的生态系统，此事件也成为了关于硬件安全持续辩论的一个测试案例：智能手机应依赖隔离密钥的安全元件，还是应将种子管理转移到拥有自身安全通道的外部、用户控制的设备？未来几年设计决策中达成的平衡，将在采用率持续增长以及监管和市场压力推动更强安全保证的背景下，影响移动加密基础设施的韧性。

后续观察重点

原始设备制造商和联发科向搭载受影响芯片组的设备推送并验证1月补丁的速度。

钱包开发商是否会采用更多硬件支持的存储或额外认证，以降低种子在受攻击设备上的暴露风险。

在等待固件更新期间，安全研究人员为用户提供的缓解风险最佳实践的任何官方指南。

安全研究人员对MT6878及相关联发科平台的进一步测试结果，以评估当前保护措施的持久性。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文