Vulnerabilidade Crítica no Android Pode Roubar a Sua Frase Seed de Cripto em 3 Segundos

O laboratório de segurança interno da Ledger divulgou uma vulnerabilidade zero-day no componente WebView do Android que permite que aplicações maliciosas em segundo plano extraiam uma frase-semente de recuperação de 24 palavras de carteiras de software em menos de três segundos.

Como Funciona o Ataque

A vulnerabilidade, denominada Memory-Mirror pelos investigadores da Ledger Donjon, explora um erro no Android System WebView, o componente que renderiza conteúdo web dentro de aplicações. Uma aplicação maliciosa em execução em segundo plano pode desencadear uma fuga de memória que espelha o conteúdo do espaço de memória privada de uma aplicação de carteira para uma cache partilhada acessível fora dos limites normais da sandbox.

A arquitetura de sandbox do Android foi concebida para isolar a memória de cada aplicação de todas as outras aplicações no dispositivo. O Memory-Mirror contorna esse isolamento em condições específicas que não são difíceis de criar. Se um utilizador introduzir a sua frase-semente em qualquer carteira de software enquanto uma aplicação comprometida está em execução em segundo plano, a semente pode ser extraída da cache partilhada no prazo de três segundos após a entrada. O utilizador não vê nada de invulgar. A aplicação da carteira comporta-se normalmente. A semente desapareceu.

O ataque requer que uma aplicação maliciosa já esteja instalada no dispositivo, o que reduz consideravelmente a barreira, dado o volume de aplicações fraudulentas que passam pelos processos de revisão das lojas de aplicações e a prevalência de ficheiros APK instalados lateralmente na comunidade cripto.

A Dimensão da Exposição

A Ledger Donjon estima que mais de 70% dos dispositivos Android com as versões 12 a 15 permanecem vulneráveis sem a atualização de segurança de março de 2026. A Google começou a implementar a correção nos dispositivos Pixel a 5 de março. As atualizações da Samsung e da Xiaomi são esperadas até ao final de março. Todos os dispositivos Android que não receberam uma versão de compilação que termine em .0326 estão atualmente suscetíveis.

A classificação de hot wallet da CoinGecko publicada hoje colocou a Trust Wallet em primeiro lugar e a MetaMask em segundo lugar a nível global. Ambas as carteiras desativaram temporariamente a funcionalidade de Importação via Semente no Android até que o estado da atualização do dispositivo possa ser verificado. A Phantom, em quarto lugar na mesma lista, é igualmente afetada. As três carteiras móveis não custodiais mais populares do mundo suspenderam a funcionalidade de importação de semente na plataforma através da qual a maioria dos seus utilizadores acede.

O Que Fazer Imediatamente

Os utilizadores de Android que detêm criptomoedas em qualquer carteira de software devem verificar imediatamente a atualização de segurança de março de 2026. Aceda a Definições, depois Segurança ou Sistema, depois Atualização de Software, e verifique se a versão de compilação termina em .0326. Se a atualização ainda não estiver disponível do fabricante do dispositivo, trate o dispositivo como comprometido para fins de entrada de semente até que esteja.

As recomendações da Ledger vão além da aplicação de atualizações. Introduzir uma frase-semente de recuperação em qualquer teclado móvel em qualquer carteira de software comporta um risco inerente que existe independentemente do Memory-Mirror. O próprio teclado, gestores de área de transferência e aplicações de gravação de ecrã representam todos potenciais vetores de extração que as carteiras de hardware eliminam por conceção. Os dispositivos Ledger Nano e Stax não são afetados pelo Memory-Mirror porque a frase-semente nunca sai do chip Secure Element do dispositivo e nunca é exposta ao sistema operativo Android em momento algum.

A funcionalidade de proteção contra envenenamento de endereços da Trust Wallet abordada nesta publicação ontem defendeu os utilizadores contra um vetor de ataque ao nível da transação. O Memory-Mirror opera a um nível fundamentalmente mais profundo, visando a própria semente em vez de uma única transação. Uma semente comprometida compromete permanentemente cada carteira, cada blockchain e cada ativo dela derivado.

Atualize o dispositivo. Não introduza frases-semente no dispositivo móvel até que a instalação da atualização seja confirmada.

A publicação Vulnerabilidade Crítica no Android Pode Roubar a Sua Frase-Semente Cripto em 3 Segundos apareceu primeiro no ETHNews.