Недавно обнаруженная уязвимость Android под названием «Pixnapping» представляет серьезную угрозу для пользователей криптовалют. Эта изощренная атака позволяет вредоносным приложениям красть конфиденциальные данные с экрана, включая критически важные сид-фразы криптовалютных кошельков и коды двухфакторной аутентификации (2FA), не требуя специальных разрешений. Эксплойт обходит стандартную изоляцию приложений, вызывая тревогу по поводу безопасности мобильных криптовалют.
Ключевые выводы
-
Атака «Pixnapping» может красть конфиденциальные данные, такие как сид-фразы криптовалютных кошельков и коды 2FA, непосредственно с экрана устройства Android.
-
Она использует слабость в том, как Android отображает пиксели, восстанавливая видимую информацию без необходимости специальных разрешений.
-
Хотя атака эффективна против информации, отображаемой в течение длительного времени, она менее полезна для быстро меняющегося контента.
-
Google признал уязвимость как имеющую высокую степень серьезности и работает над дальнейшими исправлениями, хотя для первоначального исправления было найдено временное решение.
-
Аппаратные кошельки рекомендуются как самый безопасный метод хранения криптовалютных активов.
Как работает Pixnapping
Атака Pixnapping использует интерфейсы прикладного программирования (API) Android и технику аппаратного бокового канала, известную как GPU.zip. Вредоносные приложения могут манипулировать отображением пикселей на экране. Накладывая полупрозрачные активности и измеряя точное время рендеринга кадров, вредоносное ПО может определить значения цвета отдельных пикселей. Этот процесс, повторяющийся со временем, позволяет злоумышленнику восстановить конфиденциальную информацию, видимую на экране, подобно созданию снимка экрана пиксель за пикселем.
Уязвимость и тестирование
Исследователи протестировали Pixnapping на нескольких устройствах, включая модели Google Pixel (с 6 по 9) и Samsung Galaxy S25, работающие под управлением версий Android от 13 до 16. Атака продемонстрировала тревожно высокий процент успешного восстановления полных шестизначных кодов 2FA, варьирующийся от 29% до 73% в зависимости от устройства. Время, необходимое для восстановления этих кодов, часто укладывалось в их 30-секундное окно действительности. Хотя кража полной 12-словной фразы восстановления криптовалюты заняла бы больше времени, риск усиливается, если пользователи оставляют эти фразы видимыми на экране во время их записи.
Реакция Google и смягчение последствий
Google классифицировал уязвимость Pixnapping как имеющую высокую степень серьезности (CVE-2025-48561). Хотя компания выпустила первоначальный патч в сентябре 2025 года, ограничив эффекты размытия приложений, исследователи обнаружили обходной путь, который сделал патч недостаточным. Google обязался выпустить еще одно обновление в своем бюллетене безопасности за декабрь 2025 года для устранения оставшихся проблем. Устройства Samsung также были предупреждены, поскольку первоначальный патч оказался неадекватным для их оборудования.
Защита ваших криптоактивов
Эксперты по безопасности настоятельно рекомендуют пользователям избегать отображения конфиденциальной информации, такой как сид-фразы криптовалютных кошельков или коды 2FA, на любом устройстве, подключенном к Интернету. Наиболее безопасным рекомендуемым методом является использование аппаратных кошельков. Эти специализированные устройства хранят закрытые ключи и фразы восстановления в автономном режиме, подписывая транзакции внешне, не раскрывая конфиденциальные данные смартфону или компьютеру. Своевременная установка системных обновлений также имеет решающее значение для смягчения подобных уязвимостей.
Источники
-
Уязвимость Android ставит под угрозу фразы восстановления и коды 2FA, Cointelegraph.
-
Новая атака Android «Pixnapping» угрожает безопасности криптовалютных кошельков, Brave New Coin.
-
Новая атака «Pixnapping» может красть сид-фразы прямо с вашего экрана, CryptoRank.
-
Атака «Pixnapping» на Android может поставить ваш криптовалютный кошелек под угрозу, PhoneWorld.
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.