科技｜微軟揭Android SDK漏洞：逾3,000萬次加密錢包安裝或面臨資料被盜

微軟安全研究人員發現，推送通知SDK EngageLab存在嚴重"意圖重定向"漏洞，令同一部裝置上的任何應用程式都有機會繞過Android安全沙盒，存取私隱資料。受影響的加密錢包應用程式合計安裝量超過3,000萬次，所有受影響應用的總安裝量更逾5,000萬次。 微軟指出，漏洞出現在EngageLab SDK 4.5.4版本。若錢包應用整合了該易受攻擊版本，當中個人身份資料（PII）、用戶憑證及金融數據，均可能被同機惡意應用程式竊取。Google Play上已偵測到使用脆弱版本的相關應用，現已全部下架。 事件時間線方面，微軟於2025年4月向EngageLab通報問題；截至2025年11月，廠方已在SDK 5.2.1版本修復漏洞。 今次披露亦與上月另一宗Android相關安全議題相呼應：硬件錢包公司Ledger的Donjon團隊揭露MediaTek開機鏈漏洞（CVE202620435），指攻擊者如能取得實體USB接觸權限，可在45秒內從約25%的Android手機抽取錢包種子短語。兩項發現再度凸顯硬件錢包倡議者的警告：把加密資產長期存放在手機裝置上存在更高風險。