Luka w izolacji aplikacji na smartfonach pozwala czytać klucze portfeli kryptowalut

Publicznie dostępny kod pozwala aplikacji na smartfonie czytać pliki wszystkich innych aplikacji, w tym frazy seed, klucze prywatne i dane logowania. Poprawki nie ma: aktualizacje systemu wydane wczoraj jej nie zawierają. Ostrzeżenie wydała jedna z dużych giełd kryptowalut. Ani giełda, ani autor kodu nie zgłaszają ataków ani kradzieży.

Kogo dotyczy

Użytkowników popularnego systemu operacyjnego smartfonów w dwóch najnowszych liniach wersji, zwłaszcza tych, którzy instalują aplikacje spoza oficjalnego sklepu: ręcznie podpisane albo wgrywane narzędziami do instalacji bocznej. W nowszej linii kod sięga także do części folderów systemowych. Nikt z zaangażowanych nie podał, czy aplikacja ze sklepu mogłaby go użyć.

Co zrobić

Usuń aplikacje zainstalowane ze źródeł spoza sklepu i zaktualizuj system oraz wszystkie aplikacje. Przy podejrzeniu włamania giełda zaleca przeniesienie środków do nowego portfela utworzonego na czystym urządzeniu i zresetowanie wszystkich aktywnych sesji logowania.