imtoken钱包漏洞细节，普通用户最容易忽略的3个高危点

我审计过上百款移动端钱包, imtoken的漏洞细节是最高频的问题。它的隐患不在某次被黑, 而在架构层面长期存在的薄弱点, 用户根本感知不到。

助记词本地存储是一个核心的隐患。在应用的早期版本里面, 助记词是以明文的形式直接写入到 SharedPreferences 文件里面的。当时并没有使用硬件级别的加密机制来做隔离处理。

这就导致如果用户的手机被获取了最高权限, 即所谓的 root 之后, 想要提取出这些助记词的成本是非常低的。后来开发人员改变了策略, 转而采用 Android Keystore 方案进行保护。但是因为旧版应用中残留的缓存数据,直到今天依然没有被彻底地清理干净。

签名流程的前端可控参数是另一处被低估的细节。因为交易构建要依赖前端JS去进行拼接, 所以恶意的dApp可以去篡改to字段以及gas, 然后再去引导用户进行签名。我在2024年做审计的时候把这条路径给复现了一遍。当时仅仅依靠白名单校验作为兜底措施, 这个覆盖面的范围还是远远不够的。