想象一下将手机插入笔记本电脑……然后在设备甚至还未启动之前就失去了你的加密钱包。

这基本上就是安全专家发现的情况——一些使用联发科技芯片的安卓设备存在一个重大漏洞。

这让人松了一口气——问题已经得到修复。

坏消息是，使用旧软件的人仍然处于危险之中。

启动过程中的安全漏洞

这个问题是由Donjon发现的，这是一组与Ledger合作的安全专家，Ledger是一家制造加密货币硬件的公司。

他们的调查揭示了联发科技的安全启动链中的一个漏洞——这个系统负责确保手机安全启动并仅运行授权的软件。

通常情况下，这个启动过程就像门口的保安。如果在启动过程中有任何可疑的东西试图加载，系统会阻止它。

但研究人员发现了一种绕过该保护的方法。

如果有人拿到你的手机并拥有合适的设备，他们可以将其插入计算机并找到绕过一些重要安全措施的方法。

从那里开始，事情迅速升级。

45秒钱包黑客攻击

为了展示这个漏洞是如何工作的，研究人员在一部Nothing CMF Phone 1上进行了测试。

结果令人震惊。

在不到一分钟的时间里，攻击成功地：

恢复了手机的PIN码

解密内部存储

从几个流行的加密钱包中提取种子短语

根据Ledger的说法，该漏洞影响了包括以下钱包：

Trust Wallet

Base Wallet

Kraken Wallet

Rabby

Phantom

Tangem Mobile Wallet

更令人担忧的是，攻击并不需要手机完全开启就能工作。

研究人员甚至在Android系统有机会启动之前就能够黑入设备。

可能受影响的手机数量

安卓系统的大部分是由联发科技处理器运行的。

大约四分之一的安卓设备，或约25%，使用联发科技芯片和Trustonic受信执行环境的组合，这是该漏洞所针对的特定设置。

这并不一定意味着所有这些手机都存在漏洞，但确实让我们了解潜在问题可能有多大。

在发现问题后，Ledger通知了联发科技，他们在1月5日修复了该问题。

不过，补丁只有在用户安装时才有效。

运行过时安全更新的设备可能仍然存在漏洞。

关于手机钱包的更大警告

这一发现也在加密货币社区引发了激烈讨论：移动钱包到底有多安全？

Ledger的首席技术官，Charles Guillemet，直截了当地表示。

他认为智能手机的设计并没有考虑到需要强大的安全措施来保护其密钥。

普通计算机芯片旨在快速且易于使用，但并不是为了保护非常敏感和秘密的信息而设计的，例如加密中使用的那种信息。

与其他类型的钱包相比，硬件钱包使用一种叫做安全元件的东西。这些是专门设计用来将私钥与系统的其余部分分开的特殊芯片，有助于保护它们的安全。

当怀有恶意意图的人拿到设备时，独处可能会产生很大的不同。

Guillemet做出了一个相当惊人的声明：我们的智能手机实际上可能会使敏感信息，如我们的数字钱包种子和PIN码，面临暴露的风险，这种情况甚至可能发生在我们认为手机完全关闭的时候。

用户现在应该做什么

对于大多数用户来说，修复很简单。

更新你的手机。

获取最新的Android安全更新有助于保护你的设备免受威胁。

首先，安全专家建议采取一些简单的步骤来保护自己。

保持手机软件更新

避免在移动钱包中存储大量加密资产

使用硬件钱包进行长期存储

启用强大的设备密码和加密

移动钱包在日常交易中仍然方便。但在保护重要的加密资产时，许多专家仍然建议将私钥保存在专用的硬件设备上。

加密行业不断重申的提醒

尽管联发科技的漏洞可能已经修复，但这并没有改变更大的格局——它向我们展示了仍然存在一些重大问题需要解决。

加密安全不仅仅依赖于钱包或交易所。它依赖于它们之下的每一层技术——从操作系统到处理器再到引导加载程序。

有时，系统中的一个弱点就能让它完全暴露于问题之中。

在这种情况下，门只开了短短一段时间，不到一分钟。然而，正如研究人员所展示的那样，这段短暂的时间就是所需的一切。

联发科技在45秒内修复加密种子盗窃漏洞

相关文章

迈克·Web3

您的加密货币，终于变简单了