هشدار برای کاربران اندروید: «پیکس‌نَپینگ» می‌تواند 2FA و seed phrase را فاش کند
- توسط: ادمین پارس بیت
- زمان مطالعه: 3 دقیقه
- ساخته شده در : 23 مهر 1404 به روز شده در : 28 مهر 1404
- 50
آنچه در این مقاله می‌خوانید:
حمله جدید «Pixnapping» در اندروید می‌تواند عبارت بازیابی کیف پول‌های رمزارزی را فاش کند
پژوهشگران امنیتی از کشف آسیب‌پذیری جدیدی در سیستم‌عامل اندروید خبر داده‌اند که می‌تواند به برنامه‌های مخرب اجازه دهد محتوای نمایش‌داده‌شده روی صفحه سایر اپلیکیشن‌ها — از جمله عبارت بازیابی کیف پول‌های رمزارزی و کدهای احراز هویت دو مرحله‌ای (2FA) — را بازسازی کنند.
جزئیات حمله Pixnapping
طبق نتایج یک مقاله پژوهشی تازه، حمله‌ی موسوم به Pixnapping قادر است تمام لایه‌های امنیتی مرورگرها را دور بزند و حتی داده‌های حساس درون برنامه‌های غیرمرورگری را نیز استخراج کند. این روش از رابط‌های برنامه‌نویسی (API) سیستم‌عامل اندروید برای تشخیص رنگ دقیق پیکسل‌های نمایش‌داده‌شده روی صفحه استفاده می‌کند.
برخلاف روش‌های ساده‌تر که نیازمند دسترسی مستقیم به محتوای برنامه دیگر هستند، در این حمله اپلیکیشن مخرب چندین لایه نیمه‌شفاف را روی صفحه قرار می‌دهد تا تنها یک پیکسل خاص را آشکار کند. سپس با تحلیل رنگ همان پیکسل و تکرار فرآیند در فریم‌های متعدد، محتوای اصلی صفحه بازسازی می‌شود.
با اینکه این فرآیند به زمان زیادی نیاز دارد و برای محتوایی که فقط چند ثانیه روی صفحه نمایش داده می‌شود کاربرد محدودی دارد، اما اطلاعاتی مانند عبارات بازیابی کیف پول‌های رمزارزی معمولاً برای مدتی طولانی‌تر قابل مشاهده‌اند و همین موضوع آن‌ها را در معرض خطر قرار می‌دهد.
خطر برای کاربران رمزارز
عبارات بازیابی (Seed Phrase) کلید اصلی دسترسی به دارایی‌های رمزارزی کاربر هستند. پژوهشگران اعلام کردند حمله Pixnapping توانسته است در آزمایش‌ها روی دستگاه‌های Google Pixel 6، 7، 8 و 9 به‌ترتیب در ۷۳٪، ۵۳٪، ۲۹٪ و ۵۳٪ از موارد، کد ۶ رقمی احراز هویت را با موفقیت بازسازی کند. زمان لازم برای استخراج هر کد نیز بین ۱۴ تا ۲۵ ثانیه متغیر بوده است.
هرچند بازسازی کامل یک عبارت ۱۲ کلمه‌ای زمان بسیار بیشتری می‌طلبد، اما اگر کاربر عبارت را برای مدتی روی صفحه باز نگه دارد، حمله همچنان می‌تواند موفق باشد.
واکنش گوگل و وضعیت امنیت دستگاه‌ها
این آسیب‌پذیری روی دستگاه‌های مختلف از جمله سری گوشی‌های Pixel و Galaxy S25 با نسخه‌های اندروید ۱۳ تا ۱۶ آزمایش شده است. پژوهشگران هشدار داده‌اند که این حمله می‌تواند سایر گوشی‌های اندرویدی را نیز تحت تأثیر قرار دهد، زیرا APIهای مورداستفاده در نسخه‌های مختلف سیستم‌عامل وجود دارند.
گوگل ابتدا تلاش کرد با محدود کردن تعداد فعالیت‌های قابل محو شدن (Blur) در هر اپلیکیشن، نقص را برطرف کند؛ اما پژوهشگران راهی برای دور زدن این محدودیت پیدا کردند. به گفته آن‌ها، در حال حاضر گوگل و سامسونگ در حال هماهنگی برای رفع نهایی این مشکل هستند.
گوگل این آسیب‌پذیری را با درجه اهمیت بالا (High Severity) ارزیابی کرده و برای تیم تحقیقاتی پاداش امنیتی (Bug Bounty) در نظر گرفته است.
احراز هویت دو عاملی (2FA) چیست و چگونه فعال می‌شود | افزایش امنیت حساب‌های کاربری »» مشاهده
راه‌حل: استفاده از کیف پول سخت‌افزاری
کارشناسان توصیه می‌کنند کاربران از نمایش عبارات بازیابی یا هرگونه اطلاعات حساس بر روی دستگاه‌های اندرویدی خودداری کنند. بهترین روش برای محافظت از دارایی‌های دیجیتال، استفاده از کیف پول سخت‌افزاری (Hardware Wallet) است که کلید خصوصی و عبارت بازیابی را در محیطی کاملاً آفلاین نگهداری می‌کند.
ولادیمیر اس.، پژوهشگر امنیتی، در واکنش به این موضوع در شبکه X نوشت:
«به‌سادگی از گوشی خود برای نگهداری رمزارز استفاده نکنید؛ از کیف پول سخت‌افزاری کمک بگیرید!»
کلیه محتواها، تحلیل‌ها و اخبار منتشر شده در این وبسایت صرفاً جنبه اطلاع‌رسانی و آموزشی دارند و وبسایت پارس بیت هیچگونه مسئولیت، توصیه، ترویج یا تشویق به خرید، فروش، سرمایه‌گذاری یا استفاده از محصولات و خدمات مرتبط با مطالب مذکور ندارد. استفاده از اطلاعات ارائه شده بر عهده کاربر است و پارس بیت هیچ تضمینی در خصوص ، کامل بودن یا نتایج ناشی از استفاده آن ارائه نمی‌دهد.
23 شهریور
15 شهریور
