Ledger 安全团队发现 Android 漏洞，可在 45 秒内提取加密钱包助记词

ChainCatcher 消息，据 The Block 报道，Ledger 旗下安全研究团队 Donjon 发现 MediaTek 处理器安全启动链中的一个漏洞，攻击者可在物理接触手机的情况下，通过 USB 连接在操作系统加载前提取加密密钥，解密设备存储，从而在约 45 秒内获取设备 PIN 码及加密钱包助记词。

概念验证测试中，该漏洞成功从 Trust Wallet、Kraken Wallet 和 Phantom 等钱包应用中提取了敏感数据。研究人员表示，该漏洞可能影响约 25% 的 Android 手机，涉及使用 MediaTek 芯片及 Trustonic 可信执行环境的机型。Ledger 首席技术官 Charles Guillemet 表示，智能手机从未被设计为保险库，该漏洞虽可通过补丁修复，但表明在非安全设备上存储密钥存在固有风险，建议用户尽快更新安全补丁。

据 TRM Labs 数据，2025 年上半年被盗的 21 亿美元加密资产中，超过 80% 源于私钥盗窃、助记词窃取及前端劫持等基础设施攻击。Chainalysis 数据显示，2024 年全年加密资产盗窃损失超过 34.1 亿美元，个人钱包被盗占比从 2022 年的 7.3% 上升至 2024 年的 44%。