Производитель чипов для мобильных телефонов MediaTek в январе исправил уязвимость, затронувшую его чипсеты, которая могла позволить злоумышленнику украсть начальные фразы криптовалюты на затронутых устройствах, используя только USB-кабель и подходящее программное обеспечение.
Уязвимость была обнаружена белой командой безопасности Ledger, Donjon, которая поделилась уязвимостью с MediaTek до того, как 5 января было выпущено исправление, хотя пользователям, которые не установили последние исправления безопасности, рекомендуется это сделать, сказал Леджер.
Тестовое устройство было скомпрометировано за 45 секунд
По словам Леджера, уязвимость возникла из-за безопасной цепочки загрузки MediaTek — механизма безопасности, встроенного в его чипы, который гарантирует безопасный запуск телефона и только с авторизованным программным обеспечением во время запуска.
В заявлении, опубликованном Cointelegraph, Леджер объяснил, что эта уязвимость означает, что злоумышленник, имеющий доступ к телефону Android, может подключить его к компьютеру через USB и обойти средства защиты, потенциально получив доступ к конфиденциальным данным на устройстве, включая начальные фразы криптовалютного кошелька.
Около 25% телефонов Android используют Trustonic Trusted Execution Environment (TEE) и процессоры MediaTek, которые и используются уязвимостью безопасности.
Донжон продемонстрировал взлом, подключив Nothing CMF Phone 1 к ноутбуку и ставя под угрозу безопасность устройства примерно за 45 секунд.
«Даже не загружаясь в Android, эксплойт автоматически восстанавливает PIN-код телефона, расшифровывает его хранилище и извлекает начальные фразы из самых популярных программных кошельков: Trust Wallet, Base, Kraken Wallet, Rabby, Tangem’s Mobile Wallet и Phantom», — сказал Леджер.
В то время как Ledger призвал пользователей обновить свои устройства, представитель Ledger сообщил Cointelegraph, что они «не ожидают, что это станет постоянной проблемой».
Мобильные телефоны никогда не бывают безопасными, говорит Леджер
Поскольку по состоянию на начало 2025 года почти 36 миллионов человек управляют цифровыми активами на своих телефонах, даже одна уязвимость может подвергнуть риску значительное количество кошельков.
В декабре 2025 года компания Ledger сообщила, что протестировала атаку на MediaTek Dimensity 7300 (MT6878) и обошла его меры безопасности, чтобы получить «полный и абсолютный контроль над смартфоном без каких-либо барьеров безопасности».
В июне 2020 года главный технический директор Ledger Шарль Гийме сообщил Cointelegraph, что на мобильных телефонах, будь то Android или iPhone, «очень сложно иметь безопасные приложения».
В среду он подтвердил аналогичную точку зрения, опубликовав на X: “Смартфоны не созданы для обеспечения безопасности. Даже в выключенном состоянии пользовательские данные, включая булавки и семена, можно извлечь менее чем за минуту”.
“Это исследование подчеркивает фундаментальное архитектурное различие: чипы общего назначения созданы для удобства. Элементы безопасности созданы для защиты ключей. Специальный элемент безопасности изолирует секреты от остальной части системы, защищая их даже при физической атаке”, – сказал он.
