新发现的名为“Pixnapping”的安卓漏洞对加密货币用户构成了重大威胁。这种复杂的攻击允许恶意应用程序在无需特殊权限的情况下窃取屏幕上的敏感数据，包括关键的加密钱包助记词和双因素认证（2FA）代码。该漏洞绕过了标准的应用程序隔离机制，引起了对移动加密货币安全的警报。
主要亮点
-
“Pixnapping”攻击可以直接从安卓设备的屏幕上窃取加密钱包助记词和2FA代码等敏感数据。
-
它利用了安卓渲染像素的一个弱点，在不需特殊权限的情况下重建可见信息。
-
虽然对显示时间较长的信息有效，但对于快速变化的内容则不太有用。
-
谷歌已承认该漏洞的严重性，并正在努力进行进一步的补丁修复，尽管已找到一个初步修复的变通方法。
-
建议使用硬件钱包作为存储加密货币资产最安全的方法。
Pixnapping 的工作原理
Pixnapping 攻击利用了安卓的应用程序编程接口（API）和一种称为 GPU.zip 的硬件侧信道技术。恶意应用程序可以操纵屏幕上像素的显示方式。通过叠加半透明的活动并测量帧渲染的精确时间，恶意软件可以推断出单个像素的颜色值。这个过程随着时间的推移重复进行，使攻击者能够重建屏幕上可见的敏感信息，类似于逐像素截屏。
漏洞和测试
研究人员在包括谷歌 Pixel（6 到 9 型号）和三星 Galaxy S25 在内的多款设备上测试了 Pixnapping，运行的安卓版本为 13 到 16。该攻击在恢复完整的六位数 2FA 代码方面表现出令人担忧的成功率，根据设备不同，成功率在 29% 到 73% 之间。恢复这些代码所需的时间通常在其 30 秒的有效期内。虽然窃取完整的 12 个单词的加密恢复短语需要更长时间，但如果用户在抄写这些短语时将其显示在屏幕上，风险就会加剧。
谷歌的回应和缓解措施
谷歌已将 Pixnapping 漏洞列为高危漏洞（CVE-2025-48561）。尽管该公司在 2025 年 9 月通过限制应用程序模糊效果发布了初步补丁，但研究人员发现了一个变通方法，使得该补丁不足以解决问题。谷歌承诺在其 2025 年 12 月的安全公告中发布另一项更新，以解决剩余问题。三星设备也收到了警报，因为初步补丁被发现对其硬件不足。
保护您的加密资产
安全专家强烈建议用户避免在任何联网设备上显示敏感信息，例如加密钱包助记词或 2FA 代码。最推荐的安全方法是使用硬件钱包。这些专用设备离线存储私钥和恢复短语，并在外部签署交易，而不会将敏感数据暴露给智能手机或计算机。及时安装系统更新对于缓解此类漏洞也至关重要。
来源
-
安卓漏洞危及恢复短语和 2FA 代码，Cointelegraph。
-
新的安卓攻击“Pixnapping”威胁加密钱包安全，Brave New Coin。
-
新的“Pixnapping”攻击可以直接从您的屏幕窃取助记词，CryptoRank。
-
安卓上的“Pixnapping”攻击可能使您的加密钱包面临风险，PhoneWorld。
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。