Android-telefoons kwetsbaar: hackers kunnen crypto seed phrase in 45 seconden stelen

Miljoenen mensen beheren hun crypto via een smartphone. Dat is handig, maar het brengt ook risico’s met zich mee. Beveiligingsonderzoekers hebben namelijk een kwetsbaarheid ontdekt in bepaalde Android-telefoons waarmee een aanvaller binnen ongeveer 45 seconden een crypto seed phrase kan stelen.

Bron: Charles Guillemet

Het probleem zat in chips van de smartphonefabrikant MediaTek. De kwetsbaarheid maakte het mogelijk om de beveiliging van een toestel te omzeilen en gevoelige gegevens uit te lezen, waaronder herstelcodes van cryptowallets. Inmiddels is er een beveiligingsupdate uitgebracht, maar niet iedereen heeft die al geïnstalleerd.

Beveiligingslek ontdekt door onderzoekers van Ledger

De kwetsbaarheid kwam aan het licht dankzij Donjon, het beveiligingsteam van hardware walletmaker Ledger. Dit team bestaat uit zogeheten white-hat hackers. Dat zijn beveiligingsspecialisten die actief op zoek gaan naar zwakke plekken om systemen veiliger te maken.

Volgens Ledger zat het probleem in de secure boot chain van MediaTek-chips. Dit is een belangrijk beveiligingsmechanisme in smartphones. Het zorgt ervoor dat een toestel alleen opstart met betrouwbare en goedgekeurde software.

Door een fout in dit systeem kon een aanvaller de beveiliging omzeilen. Met fysieke toegang tot de telefoon, een USB-kabel en speciale software kon iemand vervolgens gevoelige data van het toestel halen.

Daaronder vallen ook crypto seed phrases. Een seed phrase is een reeks woorden die dient als herstelcode voor een cryptowallet. Wie deze woorden bezit, kan de wallet herstellen en dus toegang krijgen tot de crypto die erin staat.

Hack geeft binnen een minuut volledige toegang

De onderzoekers demonstreerden de aanval met een Nothing CMF Phone 1. Ze sloten de smartphone aan op een laptop en startten de aanval. Binnen ongeveer 45 seconden kregen ze volledige controle over het apparaat.

De aanval werkte zelfs zonder dat Android werd opgestart. Tijdens de test wist de software automatisch de pincode van het toestel te achterhalen, de opslag te ontsleutelen en seed phrases uit verschillende mobiele wallets te halen.

Volgens Ledger konden onder andere herstelzinnen worden opgehaald uit populaire wallets zoals Trust Wallet, Kraken Wallet, Phantom, Rabby en Base Wallet. Ook Tangem’s mobiele wallet bleek kwetsbaar tijdens de demonstratie.

Groot deel van Android-telefoons gebruikt deze technologie

Het beveiligingslek trof vooral toestellen met een MediaTek-processor die gebruikmaken van de zogenaamde Trustonic Trusted Execution Environment (TEE). Dit is een speciale beveiligde omgeving binnen een chip waar gevoelige gegevens worden verwerkt.

Ongeveer een kwart van alle Android-telefoons gebruikt deze combinatie van technologie. Dat betekent dat het probleem in theorie een groot aantal toestellen had kunnen treffen.

MediaTek bracht op 5 januari een patch uit die de kwetsbaarheid oplost. Gebruikers die hun toestel nog niet hebben bijgewerkt, doen er verstandig aan de nieuwste beveiligingsupdate alsnog te installeren.

Smartphones zijn niet ontworpen voor maximale crypto-beveiliging

Volgens Ledger laat deze kwetsbaarheid een groter probleem zien. Smartphones zijn in de basis niet ontworpen om cryptografische sleutels optimaal te beschermen.

Charles Guillemet, CTO van Ledger, wijst op een belangrijk verschil tussen gewone smartphonechips en speciale beveiligingschips. Algemene chips zijn gebouwd voor gebruiksgemak en prestaties. Ze moeten veel verschillende taken tegelijk uitvoeren.

Voor het veilig opslaan van cryptosleutels gebruiken hardware wallets daarom vaak een Secure Element. Dat is een aparte beveiligde chip die gevoelige gegevens volledig afschermt van de rest van het systeem.

Volgens Guillemet kunnen gegevens op smartphones soms zelfs worden uitgelezen wanneer een toestel uitgeschakeld lijkt. In bepaalde gevallen lukt het aanvallers om pincodes of seed phrases in minder dan een minuut te achterhalen.

Smartphones blijven populair voor crypto

Ondanks deze risico’s blijven smartphones een belangrijk hulpmiddel voor crypto-investeerders. Begin 2025 beheerden naar schatting 36 miljoen mensen hun digitale assets via hun telefoon.

Mobiele wallets maken crypto toegankelijk en eenvoudig in gebruik. Maar het incident met MediaTek laat zien dat gebruikers voorzichtig moeten blijven met gevoelige informatie zoals seed phrases.

Conclusie

De kwetsbaarheid in MediaTek-chips toont aan dat zelfs moderne smartphones niet volledig veilig zijn voor geavanceerde aanvallen. Dankzij de patch is het probleem inmiddels opgelost, maar alleen als gebruikers hun toestel daadwerkelijk updaten.

Voor crypto-investeerders blijft één regel belangrijk: behandel je crypto seed phrase als de sleutel tot je volledige vermogen. Bewaar deze herstelcode bij voorkeur offline en vertrouw niet volledig op de beveiliging van een smartphone.

FAQ

Wat is een crypto seed phrase?

Een crypto seed phrase is een reeks van meestal 12 of 24 woorden die dient als herstelcode voor een cryptowallet. Met deze woorden kun je een wallet opnieuw openen en volledige toegang krijgen tot de crypto die daarin staat.

Hoe konden hackers deze seed phrases stelen?

Door een kwetsbaarheid in de secure boot chain van bepaalde MediaTek-chips konden aanvallers de beveiliging van een Android-telefoon omzeilen. Met fysieke toegang tot het toestel en een USB-verbinding konden ze vervolgens data uit het apparaat halen.

Is mijn smartphone nog kwetsbaar?

MediaTek heeft het probleem opgelost met een beveiligingsupdate die begin januari werd uitgebracht. Wie zijn Android-telefoon regelmatig bijwerkt, heeft het beveiligingslek waarschijnlijk al gedicht. Toch blijft het verstandig om belangrijke seed phrases niet op een smartphone op te slaan.