严重Android漏洞可在三秒内窃取加密助记词_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

严重Android漏洞可在三秒内窃取加密助记词

2026-03-12 11:30:43

安卓零日漏洞曝光：三秒内窃取加密货币助记词

Ledger内部安全实验室近日披露了安卓系统WebView组件中的一个零日漏洞，该漏洞允许恶意后台应用在3秒内从软件钱包中提取24词恢复助记词。

攻击原理分析

该被Ledger Donjon研究人员命名为"内存镜像"的漏洞，利用了安卓系统WebView（用于在应用内渲染网页内容的组件）的缺陷。后台运行的恶意应用可触发内存泄漏，将钱包应用的私有内存空间内容镜像到可突破常规沙箱边界的共享缓存中。

安卓沙箱架构本应隔离设备上各应用的内存空间，但在特定条件下（这些条件并不难创造），内存镜像攻击能绕过隔离机制。当用户在后台运行受感染应用时向任何软件钱包输入助记词，该助记词将在输入后3秒内从共享缓存中被提取。整个过程用户毫无察觉，钱包应用表现正常，但助记词已然泄露。

此类攻击需设备已安装恶意应用，考虑到大量欺诈应用通过应用商店审核流程，以及加密社区普遍存在侧载APK文件的现象，实施门槛已大幅降低。

影响范围评估

Ledger Donjon估计，未安装2026年3月安全补丁的安卓12至15版本设备中，超过70%仍处于风险状态。谷歌已于3月5日向Pixel设备推送修复程序，三星和小米的补丁预计3月下旬发布。任何未获得版本号以.0326结尾的安卓设备目前均受影响。

今日早间发布的CoinGecko热钱包排行榜显示，Trust Wallet与MetaMask分列全球前两位。两家钱包已暂时禁用安卓端的"通过助记词导入"功能，直至设备补丁状态可被验证。排名第四的Phantom钱包同样受到影响。这意味着全球三大最受欢迎的非托管移动钱包，均已在其主要用户访问平台上暂停助记词导入功能。

紧急应对措施

使用任何软件钱包存储加密货币的安卓用户应立即检查2026年3月安全更新。请进入设置→安全/系统→软件更新，确认版本号以.0326结尾。若设备制造商尚未提供更新，在完成修复前应视该设备存在助记词泄露风险。

安全建议不仅限于安装补丁。在任何软件钱包的移动键盘输入恢复助记词，本身就存在独立于内存镜像漏洞的固有风险——键盘程序、剪贴板管理工具及屏幕录制应用都可能成为提取媒介。硬件钱包通过设计从根本上消除了这些风险：Ledger Nano和Stax设备不受内存镜像影响，因为助记词始终存储在设备的安全芯片中，从未暴露于安卓操作系统。

昨日报道中提及的Trust Wallet地址防毒功能可在交易层防御攻击，而内存镜像攻击则针对更底层的助记词本身。一旦助记词泄露，由其衍生的所有钱包、所有链上资产都将永久暴露于风险之中。

请立即更新设备系统，在确认安装补丁前切勿在移动端输入助记词。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文