【Web3】Android 仮想通貨ユーザーへの警告

内容

カーネギーメロン大の研究者らは、画面上のピクセルをターゲットにGPUサイドチャネルで機密データを復元する新攻撃「Pixnapping」を発表した。

攻撃は悪意あるアプリが他アプリを密かに呼び出し、ウィンドウブラーAPIとVSyncのタイミング差を測定してピクセル色を再構築する。

実証はAndroid 13～16を搭載したGoogle Pixel 6〜9とSamsung Galaxy S25で行われ、複数のアプリからデータ抽出に成功した。

Google Authenticatorの6桁コードは平均30秒未満で取得可能で、デバイスにより成功率は29%〜73%だった。

注目ポスト

New Pixnapping Attack: allows any Android app without permissions to leak info displayed by other apps exploiting Android APIs and a hardware side channel (CVE-2025-48561)

Pixnapping is not fixed and probably affects all Androids.
PoC: Not available yet.
Steal 2FA codes 👇 pic.twitter.com/eJmWxal6FI

— Mobile Hacker (@androidmalware2) October 14, 2025

反応・補足

長く表示されるリカバリフレーズは時間をかければ語ごとに再構築可能で、非常に高リスクである。

脆弱性はCVE-2025-48561として報告され、9月に部分的パッチ、完全修正版は12月配布予定とされているが回避手法も報告された。

画面表示を狙うため従来の権限モデルでは防げず、オフライン保存やハードウェアウォレットの使用が推奨される。

対策として不明なアプリのインストール回避、OSやセキュリティ更新の即時適用、画面上でのコード・フレーズ非表示が重要。

これから仮想通貨ユーザにとってハッキング情報には注目ですね

ソースはこちら

NFTに興味がある方は、1度チェック↓

: NFTを買ってみた。（アイコンになってます）【体験談】

続きを見る

仮想通貨を始める方

仮想通貨を始める方は、まずコインチェック公式サイトで口座開設からスタート！

口座開設で分からない事があれば、この記事↓をチェック！

: おばあちゃんでも分かる「コインチェックの口座開設」【図で説明】

続きを見る

免責事項

LIGHTEQは、Web3に関する信頼できるニュースを提供しています。当サイトに掲載されている見解は投資助言を構成するものではありません。暗号資産またはデジタル資産へのハイリスク投資を行う前に、ご自身で十分な調査を実施してください。すべての送金および取引は自己責任で行われ、その結果生じた損失はすべて自己責任となります。LIGHTEQは暗号資産またはデジタル資産の売買を推奨するものではなく、認可された投資顧問でもありません。また、LIGHTEQはアフィリエイトマーケティングプログラムに参加する場合がありますのでご注意ください。