MediaTek脆弱性が示す「端末×SDK」起点の横展開
暗号資産ウォレットの安全性は秘密鍵やシードフレーズの保護に尽きるが、近年はアプリ単体ではなく外部SDKや端末チップの欠陥が攻撃面を広げている。MediaTekチップ搭載のAndroid端末に起因する脆弱性は、特定アプリだけでなくSDKを介して多数のウォレットへ波及し得る点が厄介だ。情シスとしては「端末の脆弱性」と「アプリ供給網」を同時に管理対象として捉える必要がある。影響範囲は端末機種、OSバージョン、パッチ適用状況で大きく変動する。
想定される被害パターンと企業影響
ウォレット周辺で成立し得る実害は、機密情報の漏えい、送金先差し替え、通信・画面誘導などに大別される。SDKがログ出力や解析送信に関与していると、端末内の他アプリやマルウェア、盗聴経路からシードや署名データが抜かれる恐れがある。UIやクリップボード、ディープリンクを悪用されれば、表示と実際の送金内容を食い違わせる誘導も起こり得る。さらにSDK配布・更新経路が狙われると、開発者が意図せず悪性コードを取り込むサプライチェーン攻撃へ発展する。
情シスが今すぐ取れる運用対策
まずMDM等でAndroidのセキュリティパッチ適用を強制し、更新が遅い端末は業務利用の許容範囲を見直す。ウォレット利用が業務上必要な場合は、高額資産を端末に置かずハードウェアウォレット等で鍵を分離し、用途別にウォレットを分けて被害上限を抑える。インストール元の制御、提供元不明アプリの禁止、アクセシビリティ権限の付与制限も必須だ。加えて、送金先アドレスの照合やDApp接続権限の最小化を利用ルールとして徹底する。
開発・調達側に求められる可視化（SBOM）と依存関係監視
本件の本質は、第三者SDKを含む依存関係の把握と更新判断を迅速化できるかにある。SBOMを整備して採用SDKとバージョンを特定し、SCAでCVEやアドバイザリを継続監視する体制が重要だ。SDKへ渡すデータを最小化し、秘密鍵・シードに触れさせない設計、リリースビルドのログ棚卸し、通信実装の検証、インテント／ディープリンク／WebViewの防御も併せて進めたい。ウォレット領域は侵害が即金銭被害に直結するため、端末管理とサプライチェーン対策を前提とした多層防御が求められる。
参照元：MediaTekチップの脆弱性でAndroidスマホの暗号資産ウォレットにハッキングリスク：影響範囲と今すぐできる対策