Lỗ hổng Android để lộ 30 triệu ví tiền điện tử dễ bị tấn công: Các nhà phân tích của Microsoft

Bản vá đã có sẵn gần một năm, nhưng hàng triệu người dùng Android vẫn có thể đang chạy các ứng dụng ví tiền điện tử dễ bị tấn công — để lộ tài sản và khóa riêng của họ trước một lỗ hổng bảo mật đã biết.

Nhóm Nghiên cứu Bảo mật Defender của Microsoft đã công khai chi tiết về một lỗ hổng mà họ lần đầu phát hiện vào tháng 4 năm 2025. Lỗ hổng này tồn tại trong một thành phần phần mềm phổ biến gọi là SDK EngageLab, phiên bản 4.5.4.

Vì SDK đó đã được tích hợp vào hàng nghìn ứng dụng Android, chỉ cần một ứng dụng độc hại duy nhất có thể kích hoạt một chuỗi phản ứng lan rộng vượt ra ngoài chính nó.

Cách Thức Tấn Công Hoạt Động

Phương pháp này gọi là “chuyển hướng ý định.” Một ứng dụng của kẻ tấn công gửi một tin nhắn đặc biệt đến bất kỳ ứng dụng nào đang chạy phiên bản SDK bị lỗi. Khi tin nhắn đó đến nơi, ứng dụng mục tiêu bị lừa để cấp quyền đọc và ghi dữ liệu của chính nó — bao gồm các cụm từ seed đã lưu trữ và địa chỉ ví.

Hệ thống sandbox tích hợp của Android, vốn thường ngăn các ứng dụng nhìn thấy dữ liệu của nhau, đã bị bỏ qua hoàn toàn. Theo Microsoft, cuộc tấn công ảnh hưởng đến hơn 50 triệu ứng dụng trong hệ sinh thái Android, trong đó khoảng 30 triệu là ví tiền điện tử.

Lỗ hổng này không yêu cầu người dùng làm gì sai. Không có liên kết đáng ngờ. Không có trang lừa đảo. Chỉ cần cài đặt cùng lúc các ứng dụng sai là đủ để bị ảnh hưởng.

Phản Ứng Từ Microsoft Và Google

Microsoft đã phản ứng nhanh sau khi phát hiện ra lỗ hổng. Đến tháng 5 năm 2025, công ty đã phối hợp với Google và Nhóm Bảo mật Android để xử lý vấn đề. EngageLab đã phát hành phiên bản sửa lỗi — SDK 5.2.1 — ngay sau đó.

Các báo cáo cho biết cả Microsoft và Google đã hướng dẫn người dùng cách xác minh xem ví của họ đã được cập nhật qua Google Play Protect hay chưa.

Các quan chức cũng nhấn mạnh một mối lo ngại lớn hơn: các ứng dụng được cài đặt dưới dạng tệp APK từ bên ngoài Play Store có nguy cơ cao hơn, vì chúng bỏ qua các kiểm tra bảo mật mà Google áp dụng cho các ứng dụng trong thị trường chính thức của mình.

Những gì người dùng nên làm bây giờ

Đối với hầu hết người dùng cập nhật ứng dụng thường xuyên, nguy cơ có thể đã qua. Nhưng đối với những ai chưa cập nhật kể từ giữa năm 2025, hành động khuyến nghị không chỉ đơn giản là làm mới ứng dụng.

Các nhóm an ninh khuyên những người dùng này chuyển toàn bộ số tiền của họ vào các ví mới hoàn toàn, được tạo ra với các cụm từ seed mới. Bất kỳ ví nào hoạt động và chưa vá lỗi trong thời gian bị ảnh hưởng đều nên được coi là có khả năng bị xâm phạm.

Thông báo này đi kèm với một lỗ hổng chip Android riêng được phát hiện vào tháng trước và một sáng kiến mới của Bộ Tài chính Mỹ phối hợp các cơ quan chính phủ với các công ty tiền điện tử để chia sẻ thông tin về các mối đe dọa an ninh mạng — cho thấy rằng an ninh di động trong lĩnh vực tiền điện tử đang thu hút sự chú ý ở cấp cao nhất.

Hình ảnh nổi bật từ Bleeping Computer, biểu đồ từ TradingView