„Android“ telefonų kriptovaliutų piniginėms gali kilti pavojus dėl „MediaTek“ išnaudojimo: „Ledger“.

Remiantis nauju kriptovaliutų aparatinės įrangos piniginių gamintojo Ledger tyrimu, pažeidžiamumas tam tikruose Android išmaniuosiuose telefonuose, kuriuose veikia MediaTek procesoriai, gali leisti užpuolikams išgauti užšifruotus vartotojo duomenis per mažiau nei minutę naudojant tik USB ryšį.

„Ledger“ vidaus saugumo tyrimų komanda, žinoma kaip „Donjon“, išsiaiškino, kad „white hat“ įsilaužėliai sugebėjo parodyti trūkumą prijungę „Nothing CMF Phone 1“ prie nešiojamojo kompiuterio ir pakenkę įrenginio saugumui per mažiau nei 45 sekundes.

„Donjonas vėl smogė, atradęs MediaTek pažeidžiamumą, galintį paveikti milijonus Android telefonų. Dar vienas priminimas, kad išmanieji telefonai nėra sukurti saugumui“, – X rašė Ledger vyriausiasis technologijų pareigūnas Charlesas Guillemetas. „Net išjungus naudotojo duomenis, įskaitant PIN kodus ir (pradines frazes), galima išgauti greičiau nei per minutę.

„Donjon“ komanda pranešė, kad sugebėjo atkurti „Nothing CMF Phone 1“ PIN kodą, iššifruoti jo saugyklą ir išgauti pradines frazes iš kelių kriptovaliutų piniginių, neįkeldami „Android“, įskaitant „Trust Wallet“, „Base“, „Kraken Wallet“, „Rabby“, „Tangem“ mobiliąją piniginę ir „Phantom“.

2024 m. Londone įsikūrusios bendrovės „Nothing“ išleistas „Nothing CMF Phone 1“ yra nebrangus ir pagal modulius pritaikomas mobilusis telefonas, kuriame veikia „Android“ operacinė sistema. Išnaudojimas nukreiptas į saugią telefono įkrovos grandinę, sakė Donjonas, kuri leidžia užpuolikui prisijungti per USB ir išgauti šakninius kriptografinius raktus prieš įkeliant operacinę sistemą, leidžiančią įrenginio saugyklą iššifruoti neprisijungus.

Pagal 2025 m. liepos mėn. „Chainalysis“ ataskaitą, asmeninės piniginės pažeidimai sudarė vis didesnę visų kriptovaliutų vagysčių dalį, o užpuolikai vis dažniau taikosi į atskirus vartotojus ir sudarė 23,35 % visos pavogtos fondų veiklos 2025 m.

Ledgeris teigė, kad „Donjon“ komanda pažeidžiamumą atrado analizuodama „Android“ „flash“ šifravimo saugumą. Bendrovė „MediaTek“ ir „Trustonic“ atskleidė išnaudojimą pagal 90 dienų atsakingo atskleidimo politiką, o pažeidžiamumą „MediaTek“ viešai atskleidė anksčiau šį mėnesį.

Kiti įrenginiai, naudojantys „MediaTek“ lustus, yra į šifravimą orientuotas „Solana Seeker“ ir išmanieji telefonai iš tokių prekių ženklų kaip „Samsung“, „Motorola“, „Xiaomi“, POCO, „Realme“, „Vivo“, „OPPO“, „Tecno“ ir „iQOO“. Tačiau dar neaišku, kurie kiti telefonai, išskyrus „Nothing CMF Phone 1“, gali būti jautrūs išnaudojimui.

Nors demonstracijoje daugiausia dėmesio buvo skiriama kriptovaliutų piniginėms, Donjonas teigė, kad poveikis gali apimti ir kitą įrenginyje saugomą slaptą informaciją, įskaitant pranešimus, nuotraukas, finansinę informaciją ir paskyros kredencialus.

Kripto piniginės paprastai būna dviejų rūšių: programinės ir aparatinės įrangos piniginės, skirtos saugoti privačius raktus, leidžiančius vartotojams pasiekti savo skaitmeninį turtą. Programinė įranga arba karštosios piniginės yra skirtos mobiliesiems įrenginiams, o fizinės aparatinės įrangos piniginės skirtos naudoti su staliniais ar nešiojamaisiais kompiuteriais. Šias pinigines, kaip ir „Ledger Nano S“, galima išimti iš kompiuterių, kad būtų užtikrintas didesnis saugumas.

Tačiau programinės įrangos piniginės yra labiau prieinamos ir paprastai jas galima nemokamai atsisiųsti ir naudoti, palyginti su aparatinės įrangos piniginėmis, kurių kaina gali skirtis. Tačiau Guillemet teigė, kad tik programinės įrangos metodas turi kompromisų ir pabrėžia esminį architektūrinį skirtumą tarp „bendrosios paskirties“ telefono lustų ir tų, kurie specialiai sukurti privačiojo rakto apsaugai.

„Bendrosios paskirties lustai sukurti patogumui“, – rašė jis. „Saugūs elementai yra sukurti taip, kad apsaugotų raktus. Specialus saugus elementas izoliuoja paslaptis nuo likusios sistemos, apsaugodamas jas net ir fiziškai užpuolus.”