研究人员发现了一个新的Android系统漏洞，允许恶意应用程序通过“像素劫持”技术，重构屏幕上的敏感内容，比如助记词和双重身份验证（2FA）代码。

这一新发现的Android漏洞使恶意应用能够读取其他应用显示的内容，可能危及加密钱包的助记词、双重身份验证（2FA）代码等敏感信息。

根据最新的研究论文，所谓的“像素劫持”（Pixnapping）攻击，能够绕过所有浏览器缓解措施，甚至从非浏览器应用中窃取机密信息。这是通过利用Android应用程序编程接口（API），计算并分析不同应用显示的特定像素内容实现的。

这种攻击方式并非像传统请求那么简单，它会在屏幕上叠加一层由攻击者控制的半透明覆盖物，用以遮挡除目标像素外的其他内容，然后操控对应像素，使其颜色主导画面，从而推断出机密信息。

攻击者通过重复这个过程并精确计时帧的渲染，逐步重建屏幕上的关键信息。值得注意的是，这个过程需要一定时间限制，故对屏幕内容持续时间较短（不足几秒钟）的视频或文本显示的攻击效果有限。

助记词面临的威胁

在屏幕上停留时间较长、特别敏感的信息是加密钱包的恢复短语。这些短语允许用户完全控制连接的钱包，且必须妥善保存、不要泄露。研究团队在测试Google Pixel设备时，还对2FA代码的安全性进行了验证：

“我们的攻击在Pixel 6、7、8和9上成功率分别为73%、53%、29%和53%，能在大约14秒至26秒内恢复出完整的6位2FA代码。”

虽然完整的12个单词的恢复短语需要更长时间，但如果用户在写下来时让短语处于可视状态，攻击仍有可行性。

谷歌的应对措施

此次漏洞在运行Android 13至16版本的设备上测试，包括Google Pixel 6、Pixel 7、Pixel 8、Pixel 9以及Samsung Galaxy S25。研究人员指出，由于相关API高度开放，类似攻击可能在其他Android设备上也能实现。

谷歌最初试图通过限制应用程序同时显示模糊活动的数量来修补该漏洞，但研究人员发现仍有变通方法，能继续实现像素劫持攻击。

“截至10月13日，我们仍在与谷歌和三星沟通，协调披露时间和缓解方案。”

根据研究论文，谷歌已将此漏洞评为高严重性，并承诺为发现者支付漏洞赏金。与此同时，团队也通知三星，警告其“谷歌的补丁措施不足以完全保护三星设备”。

硬件钱包提供的安全保护

应对这个问题最有效的方案是避免在Android设备屏幕上显示任何敏感信息，如助记词或其他关键数据。最佳做法是将这些关键信息存储在硬件钱包中，与手机或电脑隔离，避免在联网设备上显示或输入。

硬件钱包是一种专用的密钥管理设备，它能在不暴露私钥或助记词的情况下，安全地签署交易。正如威胁研究员Vladimir S在X平台上一句话所说：

“简单来说，别用你的手机保护你的加密资产——用硬件钱包！”

相关资料：Monad联合创始人在空投预告中提醒用户警惕Telegram上的广告诈骗。