Lỗi Android có thể cho phép Trích xuất Seed Ví Tiền điện tử

Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng trên một số điện thoại Android sử dụng bộ xử lý MediaTek có thể cho phép kẻ tấn công có quyền truy cập vật lý trích xuất dữ liệu nhạy cảm, bao gồm cả cụm từ seed của ví tiền điện tử, trong chưa đầy một phút.

@DonjonLedger lại một lần nữa phát hiện ra lỗ hổng MediaTek có thể ảnh hưởng đến hàng triệu điện thoại Android. Một lời nhắc nhở nữa rằng điện thoại thông minh không được xây dựng để đảm bảo an ninh. Ngay cả khi tắt nguồn, dữ liệu người dùng – bao gồm mã PIN và seed – vẫn có thể bị trích xuất trong vòng chưa đầy một phút.

— Charles Guillemet (@P3b7_) 11 tháng 3, 2026

Lỗ hổng này do nhóm nghiên cứu bảo mật của Ledger, Ledger Donjon, phát hiện và đã trình diễn khai thác trên điện thoại Nothing CMF Phone 1. Theo các nhà nghiên cứu, lỗ hổng ảnh hưởng đến các thiết bị sử dụng chipset MediaTek kết hợp với công nghệ Trustonic.

Trong quá trình thử nghiệm, nhóm đã kết nối điện thoại với máy tính xách tay qua USB và thành công vượt qua các biện pháp bảo vệ cốt lõi trong khoảng 45 giây.

Ngay cả khi không khởi động hệ điều hành Android, khai thác này vẫn có thể tự động khôi phục mã PIN của thiết bị, giải mã dữ liệu lưu trữ và trích xuất các cụm từ seed được lưu trữ bởi một số ứng dụng ví tiền điện tử phổ biến.

Các nhà nghiên cứu cảnh báo rằng, vì khai thác nhắm vào lớp bảo mật phần cứng của điện thoại, nó có thể thực thi ngay cả khi thiết bị đã tắt nguồn.

Trong lý thuyết, điều này có thể làm lộ thông tin nhạy cảm được lưu trữ trong các ứng dụng ví tiền điện tử dựa trên phần mềm nếu kẻ tấn công có quyền truy cập vật lý tạm thời vào thiết bị.

Vấn đề này đã được gán mã định danh CVE-2025-20435 và có thể ảnh hưởng đến hàng triệu điện thoại Android dựa trên bộ xử lý MediaTek và kiến trúc TEE của Trustonic.

Ledger Donjon cho biết đã thực hiện quy trình tiết lộ có trách nhiệm, thông báo cho các nhà cung cấp bị ảnh hưởng trước khi công bố kết quả. MediaTek xác nhận đã cung cấp bản vá bảo mật cho các nhà sản xuất điện thoại vào ngày 5 tháng 1 năm 2026, cho phép các nhà sản xuất thiết bị triển khai các bản vá qua cập nhật phần mềm.

Nghiên cứu này làm nổi bật sự khác biệt về kiến trúc giữa các chip điện thoại thông minh đa năng và phần cứng chuyên dụng được thiết kế để bảo vệ bí mật mã hóa.

Các chuyên gia bảo mật nhận định rằng, trong khi các ứng dụng ví tiền điện tử dựa trên phần mềm mang lại sự tiện lợi, các thành phần bảo mật phần cứng chuyên dụng, như các phần tử bảo mật an toàn, cung cấp mức độ bảo vệ mạnh mẽ hơn cho khóa riêng và seed phrase, đặc biệt trong các tình huống tấn công vật lý vào thiết bị.

Liên kết duy nhất cho danh tính Web3 + dịch vụ + thanh toán của bạn. Nhận liên kết pay3.so của bạn ngay hôm nay.