demining/pixnapping-attack-on-androidAtaque Pixnapping: Comprometer claves privadas y frases semilla mediante la vulnerabilidad CVE-2025-48561 representa una nueva amenaza crítica para la red Bitcoin y la infraestructura Android
Este artículo examina la evolución de las amenazas de seguridad en el ámbito del almacenamiento de criptomonedas, centrándose en los métodos modernos para comprometer claves privadas y frases semilla, que aseguran las carteras digitales. El ecosistema moderno de criptomonedas se enfrenta a una creciente amenaza de ciberataques dirigidos a comprometer claves privadas y frases semilla, que son la base de la seguridad de las carteras digitales. La complejidad y sofisticación de los ataques, que explotan no solo el software sino también el hardware de los dispositivos móviles modernos, aumenta cada año. Junto con las amenazas tradicionales como el secuestro del portapapeles, el keylogging, la suplantación de códigos QR y la explotación de vulnerabilidades en las implementaciones de carteras BIP32/BIP39, los investigadores identifican cada vez más nuevas formas de comprometer los datos criptográficos almacenados en los teléfonos inteligentes.
A principios de octubre de 2025, investigadores de la Universidad Carnegie Mellon y de varias universidades estadounidenses presentaron los resultados de un estudio que causó revuelo en las comunidades científica y criptográfica. Descubrieron una vulnerabilidad crítica en el sistema operativo Android, denominada "Pixnapping" y registrada bajo el identificador CVE-2025-48561. Esta vulnerabilidad permite a los atacantes reconstruir paso a paso el contenido de la pantalla de los dispositivos Android, extrayendo así información visual sensible, incluidas claves privadas, frases semilla y códigos de autenticación 2FA de un solo uso de aplicaciones como Google Authenticator.
La amenaza identificada por los investigadores se basa en la profunda interacción entre las capas de software y hardware de Android, desde las API del sistema hasta el motor de compresión gráfica de la GPU. Pixnapping combina técnicas de canal lateral GPU.zip con el uso legítimo de Android Intents y la API de desenfoque de ventanas, lo que permite una reconstrucción encubierta píxel a píxel de la pantalla. Este enfoque convierte un teléfono inteligente estándar en una fuente de posible fuga de información clave utilizada para gestionar activos digitales, incluidos Bitcoin (BTC), Ethereum (ETH), Litecoin (LTC), XRP y otras criptomonedas.
El peligro radica en que el usuario no necesita otorgar ningún permiso al atacante: la aplicación maliciosa puede ejecutarse en segundo plano, permaneciendo invisible para el sistema de seguridad de Android. Como resultado, el atacante puede obtener acceso visual a las frases semilla durante las copias de seguridad o retiros de la cartera, lo que equivale efectivamente a un control total sobre los activos criptográficos de la víctima.
La combinación de tales amenazas, desde ataques Pixnapping hasta fugas de hardware mediante Rowhammer, Spectre, Meltdown y métodos de canal lateral relacionados, pone de relieve la necesidad de replantear las estrategias de seguridad en la intersección de los sistemas operativos móviles y las tecnologías financieras. Cada nueva vulnerabilidad como CVE-2025-48561 demuestra cuán frágil puede ser el equilibrio entre la conveniencia del acceso móvil a las criptomonedas y la garantía de una seguridad criptográfica fundamental.
La transacción decodificada 816760531f334651d711909a93a5959e74b3dbe126f50dbb6efb3e7d61f224ba representa evidencia documentada del trabajo de investigación, registrada en el libro mayor inmutable de la cadena de bloques de Bitcoin. Un análisis estructural de RawTX revela la arquitectura clásica de una transacción Bitcoin versión 1, que contiene un elemento crítico: el campo OP_RETURN con una URL incrustada que apunta a la investigación sobre el ataque Pixnapping.
https://github.com/zoeir/Bitcoin-Message-Transaction
Descomposición de la estructura de la transacción:
La transacción utiliza una única entrada (UTXO) de la transacción anterior y crea tres salidas: la primera salida, con un valor de cero, contiene el mensaje OP_RETURN (77 bytes de datos), la segunda salida transfiere 1000 satoshis (0.00001 BTC) a la dirección del destinatario 12ib7dApVFvg82TXKycWBNpN8kFyiAN1dr , y la tercera salida devuelve el cambio de 22.500 satoshis a la dirección del remitente 1G84gkhBsBM9B5Xsqw2s9b6H1oqg4nPEiW . La tarifa de transacción es de 1000 satoshis, lo que garantiza un procesamiento prioritario por parte de los mineros de la red.
010000000147ac1bf5cff92293f1244c141103dd1ec46ce260f117a8f8df00e6ad0cd4d15a000000008a47304402204f0c3c52b5941993d92e85bda70f93d15b76ad3af6ceab4a1bbb9b33f5432f38022079458bd4071e7c9ab7a3a9d6872083218becb935dbe8eba7862cc30d59db1da10141049a296066ca26625e22c5759a0ed00120e0183b52454b4e6155cd3855bd689f5231497de3552b9a7b976933a803b76632f6f2ac1134acf9af248e697d19a15abbffffffff0300000000000000004d6a4b7777772e626974636f696e6d6573736167652e72752f536f757263655f436f64652f5069786e617070696e675f41747461636b5f746f5f457874726163745f507269766174655f4b657973e8030000000000001976a91412d5a845f2b212ce0c3bd65a4035881d9219090e88ace4570000000000001976a914a5dfdff9f85277310a40d2978fb7040f7af8ca4b88ac00000000
Firma criptográfica y autenticación:
El campo ScriptSig de 138 bytes contiene una firma ECDSA basada en la curva secp256k1, que confirma la posesión de la clave privada del remitente. Esto verifica la legitimidad de la transacción y evita gastos no autorizados. El mensaje decodificado en OP_RETURN: " www.bitcoinmessage.ru/Source_Code/Pixnapping_Attack_to_Extract_Private_Keys " sirve como marcador permanente en la cadena de bloques, vinculando la transacción con la investigación científica sobre la vulnerabilidad crítica.
CVE-2025-48561 es una vulnerabilidad crítica de alta gravedad descubierta por un equipo de investigación de la Universidad de California en Berkeley, UC San Diego, la Universidad de Washington y la Universidad Carnegie Mellon en febrero de 2025. El ataque Pixnapping demuestra una violación fundamental del modelo de seguridad de Android, que permite que una aplicación arbitraria, sin permisos especiales, realice la reconstrucción bit a bit del contenido visual de otras aplicaciones.
Un diagrama de las tres etapas de un ataque Pixnapping en dispositivos Android.Pixnapping utiliza una combinación de API de Android y un canal lateral de hardware de GPU (zip) para extraer información visual de las pantallas de los dispositivos. El ataque explota tres mecanismos clave de Android: la capacidad de enviar las actividades de otras aplicaciones a la canalización de renderizado mediante Android Intents, la realización de operaciones gráficas (desenfoque) sobre los píxeles de otras aplicaciones y la medición de los efectos secundarios de estas operaciones, que dependen del color del píxel. cylab.cmu+ 2
Pixnapping se basa en la vulnerabilidad GPU.zip, descubierta por el mismo grupo de investigación en 2023. Este ataque explota la compresión de datos gráficos basada en hardware en las GPU modernas, que depende de los datos, es transparente para el software y está presente en casi todas las GPU modernas. cylab.cmu+ 2
La compresión de datos gráficos es una optimización en las GPU integradas (iGPU) que ahorra ancho de banda de memoria y mejora el rendimiento del renderizado de fotogramas. El ataque GPU.zip permite que un sitio web malicioso extraiga píxeles de iframes en la última versión de Google Chrome, violando el modelo de seguridad del navegador. hertzbleed+ 1
Pixnapping explota SurfaceFlinger, un proceso del sistema Android responsable de mostrar y organizar los elementos gráficos. La aplicación maliciosa utiliza Android Intents para lanzar aplicaciones objetivo, haciendo que muestren información sensible en la pantalla. Luego se crea una "actividad de enmascaramiento": una superposición translúcida que oculta la aplicación objetivo, dejando solo un único píxel seleccionado transparente. bleepingcomputer+ 1
El ataque Pixnapping se realiza en tres etapas principales, cada una de las cuales utiliza API y llamadas al sistema específicas de Android: pixnapping+ 1
Etapa 1: Invocación de la aplicación objetivo:
La aplicación maliciosa utiliza Android Intents para invocar actividades exportadas de aplicaciones objetivo, como Google Authenticator o Signal. Este proceso hace que la información sensible (códigos 2FA, semillas) se muestre en la pantalla y se pase a la canalización de renderizado de SurfaceFlinger. bleepingcomputer+ 1
Etapa 2: Inducción de operaciones gráficas
: Esta etapa crea una pila de actividades Android translúcidas que utilizan técnicas de enmascaramiento, aumento y codificación para manipular píxeles individuales de la víctima. El ataque utiliza la API de desenfoque de ventanas de Android para realizar operaciones gráficas sobre los píxeles y las devoluciones de llamada VSync para medir los tiempos de renderizado con la precisión suficiente para extraer valores de píxeles individuales. theregister+ 2
Etapa 3: Extracción por canal lateral.
La etapa final utiliza el canal lateral GPU.zip para robar los píxeles procesados en la etapa 2, un píxel a la vez. Al medir las diferencias en los tiempos de renderizado causadas por optimizaciones de GPU dependientes del patrón, como la compresión de datos de imagen, el ataque puede determinar la información del color del píxel. gbhackers+ 1
La API de desenfoque de ventanas de Android, disponible desde Android 12, proporciona capacidades para implementar efectos de desenfoque de ventanas. Hay dos tipos de desenfoque de ventanas: desenfoque de fondo (crea un efecto de vidrio esmerilado) y desenfoque detrás (desenfoca toda la pantalla detrás de la ventana). source.android
Pixnapping abusa de estas API de las siguientes maneras:
// Example code used in the attack (conceptual)
window.setBackgroundBlurRadius(blurRadius);
window.addFlags(WindowManager.LayoutParams.FLAG_BLUR_BEHIND);
WindowManager.LayoutParams.setBlurBehindRadius(blurRadius);
El ataque crea actividades translúcidas utilizando windowIsTranslucent y manipula el canal alfa de un drawable de fondo para aislar píxeles individuales. source.android
Para medir con precisión los tiempos de renderizado, Pixnapping utiliza devoluciones de llamada VSync. VSync (sincronización vertical) es una señal que sincroniza la frecuencia de fotogramas con la frecuencia de actualización de la pantalla. En Android, esto se implementa mediante Choreographer.VsyncCallback. blurbusters+ 1
// Conceptual example of using VSync callbacks
Choreographer.getInstance().postVsyncCallback(new Choreographer.VsyncCallback() {
@Override
public void onVsync(long frameTimeNanos) {
// Measuring time to extract pixel color
measureRenderingTime(frameTimeNanos);
}
});
Los investigadores probaron Pixnapping en cinco dispositivos con versiones de Android 13-16: cylab.cmu+ 1
Resultados de las pruebas de vulnerabilidad Pixnapping en varios dispositivos Android
El ataque fue más efectivo en el Google Pixel 6, con una tasa de éxito del 73% para recuperar códigos 2FA. El Samsung Galaxy S25 demostró resistencia al ataque debido al "ruido significativo" en la señal. bleepingcomputer+ 1
Una versión optimizada del ataque es capaz de extraer códigos 2FA de 6 dígitos de Google Authenticator en menos de 30 segundos. Este período de tiempo se ajusta al período de validez estándar de 30 segundos de los códigos TOTP, lo que hace que el ataque sea práctico. cylab.cmu+ 2
Los datos más complejos tardan más en extraerse:
Pixnapping representa una amenaza particular para los usuarios de criptomonedas. Las frases semilla de los monederos permanecen visibles en la pantalla más tiempo que los códigos 2FA temporales, lo que las hace vulnerables al deslizamiento de píxeles. Si bien recuperar la frase semilla completa de 12 palabras llevaría un tiempo considerable, el ataque sigue siendo viable si el usuario deja la frase semilla visible al anotarla. currently.att.yahoo+3
Los investigadores proporcionaron varios videos que demuestran el ataque Pixnapping:
1. Demostración básica de Pixnapping
2. Demo técnica de Tweakers
Los resultados de la investigación se presentaron formalmente en la 32.ª Conferencia ACM sobre Seguridad Informática y de las Comunicaciones (ACM CCS 2025) en Taipéi, Taiwán, del 13 al 17 de octubre de 2025. La presentación incluyó un análisis detallado de los aspectos técnicos del ataque y una demostración de ejemplos prácticos. cylab.cmu+ 2
Hasta octubre de 2025, Google y los investigadores no han encontrado evidencia de que la vulnerabilidad Pixnapping haya sido explotada en el mundo real. Google declaró: "No hemos visto ninguna evidencia de explotación en el mundo real". Sin embargo, esto no descarta la posibilidad de uso encubierto por parte de atacantes. bleepingcomputer+ 1
Los investigadores identificaron varios escenarios potenciales para explotar la vulnerabilidad:
1. Robo de códigos 2FA.
El escenario más común implica el robo de códigos de autenticación temporales de Google Authenticator, Authy y otras aplicaciones 2FA. Un atacante puede usar los códigos robados para eludir la autenticación de dos factores y obtener acceso no autorizado a las cuentas de la víctima. cylab.cmu+ 1
2. Compromiso de monederos de criptomonedas.
Un escenario particularmente peligroso es el robo de frases semilla de monederos de Bitcoin y otras criptomonedas. Si un usuario muestra su frase semilla en la pantalla para registrarla o verificarla, una aplicación maliciosa puede extraer gradualmente la frase completa, obteniendo control total del monedero. currently.att.yahoo+ 2
3. Intercepción de correspondencia privada.
El ataque se puede utilizar para extraer mensajes de aplicaciones de mensajería cifrada como Signal, incluso con Screen Security habilitado. Esto representa una amenaza grave para los usuarios que dependen de la seguridad del cifrado de extremo a extremo. bleepingcomputer+ 1
Aunque no se han detectado muestras específicas de malware que utilicen Pixnapping, la técnica podría integrarse en familias de troyanos Android existentes. Por ejemplo, la familia de malware SpyAgent ya utiliza el reconocimiento de imágenes para robar claves mnemotécnicas, y agregar capacidades de Pixnapping podría ampliar significativamente sus capacidades. currently.att.yahoo+ 1
Una aplicación maliciosa que realiza Pixnapping no requiere que se declaren permisos en su archivo de manifiesto de Android. Esto la hace indistinguible de las aplicaciones benignas durante los controles de seguridad de las tiendas de aplicaciones. pixnapping+ 1
Estructura básica del manifiesto:
xml:
<manifest xmlns:android="http://schemas.android.com/apk/res/android">
<application>
<activity android:name=".MaliciousActivity">
<!-- Sin declarar ningún permiso -->
</activity>
</application>
</manifest>
Un componente clave del ataque es el uso de Intents de Android para lanzar aplicaciones objetivo:
java:
// Ejemplo conceptual del código de activación de la aplicación objetivo
Intent intent = new Intent();
intent.setAction("com.google.android.apps.authenticator2.AUTHENTICATE");
intent.addFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
startActivity(intent);
Los investigadores analizaron casi 100,000 aplicaciones en Google Play Store y encontraron cientos de miles de acciones invocadas mediante Intents de Android, lo que indica la amplia aplicabilidad del ataque. bleepingcomputer
El proceso de extracción de píxeles individuales implica la creación de actividades translúcidas con una configuración específica:
java:
// Ejemplo conceptual de creación de una actividad de enmascaramiento
Window window = getWindow();
WindowManager.LayoutParams params = window.getAttributes();
params.alpha = 0.99f; // Casi completamente transparente
params.flags |= WindowManager.LayoutParams.FLAG_NOT_TOUCHABLE;
window.setAttributes(params);
// Configuración del desenfoque para inducir operaciones gráficas
window.setBackgroundBlurRadius(20);
Después de la extracción de píxeles, se utiliza una técnica similar al reconocimiento óptico de caracteres (OCR) para reconstruir el contenido original. El algoritmo analiza los patrones de los píxeles extraídos y reconstruye los caracteres y números. pixnapping+ 1
Google intentó por primera vez corregir la vulnerabilidad en la actualización de seguridad de Android de septiembre de 2025 limitando el número de actividades que una aplicación podía activar para un desenfoque. La compañía señaló en un boletín de seguridad: "Una aplicación que solicita múltiples desenfoques: (1) permite el robo de píxeles al medir el tiempo de desenfoque entre ventanas, y (2) probablemente no sea válida". bleepingcomputer+ 2
Los investigadores descubrieron rápidamente una solución que restablecía la efectividad del ataque alterando las características de sincronización. Esta solución sigue bajo embargo y no se ha divulgado públicamente. pixnapping+ 2
Google está desarrollando un parche más completo, que se publicará en el Boletín de Seguridad de Android de diciembre de 2025. Sin embargo, los investigadores señalan que una corrección efectiva para Pixnapping requerirá cambios en los mecanismos centrales de Android, como permitir que las aplicaciones impidan que otras aplicaciones superpongan su contenido sensible. cylab.cmu+ 2
El problema fundamental es que el canal lateral subyacente GPU.zip sigue sin parchear. Hasta octubre de 2025, ningún fabricante de GPU se ha comprometido a parchear GPU.zip. Esto significa que incluso con los parches de Android, la vulnerabilidad de hardware sigue siendo susceptible a nuevos métodos de ataque. pixnapping+ 1
Samsung fue notificado de la vulnerabilidad y se le advirtió que el parche de Google era insuficiente para proteger los dispositivos Samsung. La compañía reconoció el problema, pero lo calificó de "gravedad baja" debido a la complejidad del hardware. currently.att.yahoo+ 2
1. Actualizaciones oportunas:
La recomendación principal de los investigadores es instalar los parches de Android lo antes posible después de su publicación. Los usuarios deben habilitar las actualizaciones de seguridad automáticas y verificar regularmente si hay nuevos parches. cylab.cmu+ 1
2. Uso de monederos de hardware.
Para los usuarios de criptomonedas, la protección más efectiva es el uso de monederos de hardware. Los monederos de hardware almacenan claves privadas y frases semilla fuera de línea, eliminando la posibilidad de que se vean comprometidos mediante ataques de pantalla a pantalla. tradingview+ 1
3. Evitar mostrar información sensible.
Se recomienda a los usuarios evitar mostrar frases semilla u otros datos altamente sensibles en dispositivos conectados a Internet. Si es necesario almacenar frases semilla, utilice dispositivos fuera de línea. currently.att.yahoo+1
1. Protección contra superposiciones:
Los desarrolladores pueden implementar protección contra superposiciones detectando cuando otras aplicaciones intentan crear capas translúcidas sobre las suyas. Esto se puede hacer usando bitdefenderWindowManager.LayoutParams.FLAG_SECURE .
2. Minimizar el tiempo de visualización.
La información crítica debe mostrarse en la pantalla durante el menor tiempo posible. Por ejemplo, los códigos 2FA se pueden ocultar automáticamente después de intervalos cortos. bitdefender
3. Detección de actividad anómala:
Las aplicaciones pueden monitorear patrones de actividad anómalos, como llamadas frecuentes a la API de desenfoque o comportamiento de superposición inusual. bitdefender
1. La mejora de permisos de Android puede requerir permisos especiales para acceder a la API de desenfoque y otras operaciones gráficas que pueden ser explotadas en ataques. cylab.cmu
2. Aislamiento de aplicaciones
Reforzar el aislamiento entre aplicaciones puede evitar que otras aplicaciones accedan a los píxeles mediante operaciones gráficas. bitdefender
3. Soluciones de hardware
Una solución a largo plazo puede requerir cambios a nivel de GPU para eliminar el canal lateral GPU.zip. pixnapping+1
En el contexto del ataque Pixnapping (CVE-2025-48561), que explota mecanismos de hardware y software de Android para interceptar visualmente frases semilla y claves privadas, es fundamental considerar un vector de ataque adicional que opera a un nivel de hardware más fundamental. El ataque Phoenix Rowhammer (CVE-2025-6202) representa una nueva generación de explotación de las propiedades físicas de la memoria DRAM, que permite a los atacantes manipular bits de datos individuales en la memoria DDR5, incluidas las estructuras de datos criptográficos críticos de las carteras de Bitcoin. github+ 4
Un estudio conjunto del Grupo de Seguridad Informática (COMSEC) de la ETH Zürich y Google, publicado en septiembre de 2025, demostró que la memoria DDR5 de SK Hynix—el mayor fabricante mundial de DRAM—sigue siendo vulnerable a los ataques Rowhammer a pesar de la implementación de mecanismos avanzados de protección Target Row Refresh (TRR). Phoenix representa el primer ataque Rowhammer a nivel de sistema capaz de eludir todos los esquemas TRR modernos implementados en dispositivos DDR5 mediante una revolucionaria técnica de sincronización autocorrectiva. linkedin+ 7
Rowhammer es una vulnerabilidad de hardware en la memoria dinámica de acceso aleatorio (DRAM) que surge debido a las limitaciones físicas de la tecnología moderna de fabricación de chips de memoria. A medida que los estándares de fabricación de DRAM disminuyen (a 10 nm, 7 nm y menos), la distancia física entre celdas de memoria individuales se reduce significativamente, lo que conduce a un aumento de la interferencia electromagnética entre filas de memoria adyacentes. kaspersky+ 6
Mecanismo de inducción de inversión de bits:
Cada celda DRAM es un condensador que almacena una carga eléctrica correspondiente a un valor lógico de 0 o 1. Para leer o escribir datos en una fila de memoria específica, se realiza una operación ACTIVATE, que eleva el nivel de voltaje de la fila objetivo (fila agresora/fila objetivo) a un nivel alto mientras que las filas vecinas (filas víctimas) permanecen a un nivel de voltaje bajo. Activar repetidamente la misma fila de memoria en rápida sucesión crea interferencia electromagnética, lo que acelera la descarga de los condensadores en las filas vecinas, lo que potencialmente conduce a cambios espontáneos en los valores de los bits (inversiones de bits) antes del siguiente ciclo de actualización. tomshardware+ 6
Modelo matemático de degradación de carga:
La investigación muestra que la probabilidad de una inversión de bit PflipP_{flip}Pflip en una fila víctima depende del número de activaciones de la fila agresora NactN_{act}Nact, el tiempo entre operaciones de actualización tREFt_{REF}tREF y la distancia entre celdas dcelld_{cell}dcell:
donde VaggrV_{aggr}Vaggr es el voltaje de activación de la fila agresora. Los módulos DDR5 modernos requieren comandos de actualización cada 3,9 µs en promedio por defecto, el doble de frecuente que DDR4, precisamente para contrarrestar el creciente efecto Rowhammer. arxiv+ 4
DDR4 TRR: Protección de primera generación
A partir de DDR4, los fabricantes de DRAM implementaron el mecanismo Target Row Refresh (TRR)—un conjunto de contadores de hardware y lógica integrados directamente en los chips DRAM para detectar patrones de acceso a memoria sospechosos. TRR opera basándose en dos parámetros clave: el Maximum Activate Count (MAC)—el número máximo de activaciones de fila—y la Maximum Activate Window (t~MAW~)—la ventana de tiempo durante la cual se cuentan las activaciones. csdn+4 youtube
Cuando el número de activaciones de una fila particular alcanza el umbral MAC dentro de una ventana de tiempo t~MAW~, TRR inicia automáticamente una operación de actualización para las filas víctimas adyacentes, evitando inversiones de bits. Sin embargo, el estudio TRRespass (2020) demostró una vulnerabilidad crítica de este esquema: el mecanismo TRR utiliza muestreo —monitoreando solo un subconjunto limitado de filas de memoria, en lugar de todas las filas simultáneamente. El ataque Many-Sided Rowhammer explota esta limitación activando simultáneamente múltiples filas agresoras (hasta 19 en algunos casos), lo que sobrecarga el mecanismo de muestreo TRR y permite que las filas "no detectadas" continúen martillando sin ser contrarrestadas por las operaciones de actualización. usenix+4 youtube
DDR5 TRR mejorado: Protección mejorada de segunda generación
DDR5 introdujo circuitos TRR en-DRAM significativamente mejorados con algoritmos de detección y contramedidas más sofisticados. Los fabricantes implementaron comandos de actualización más frecuentes (cada 3,9 µs frente a 7,8 µs en DDR4), código de corrección de errores (ECC) integrado en el chip y mecanismos de seguimiento de activación más avanzados. Antes de la publicación de Phoenix en septiembre de 2025, se creía que DDR5 demostraba una mayor resistencia a los ataques Rowhammer en entornos de producción, y "inesperadamente, DDR5 logra esto sin comandos adicionales de control de actualización". comsec-files.ethz+5
El problema de la sincronización y el mecanismo autocorrectivo
Un descubrimiento clave de los investigadores de ETH Zürich es que los métodos de sincronización de última generación actuales pierden regularmente comandos de actualización, lo que los hace inadecuados para ataques Rowhammer efectivos en DDR5. Phoenix aborda este problema con dos técnicas revolucionarias: securityweek+ 2.
La primera técnica: división de hilos. El martilleo y los accesos de sincronización se dividen en diferentes hilos de ejecución para mejorar la detección de actualizaciones. Aunque es una mejora con respecto al estado del arte, este enfoque aún no puede mantener la sincronización durante un número suficientemente grande de intervalos de actualización, lo que impide la inducción de inversiones de bits. github+ 1
La segunda técnica es la sincronización autocorrectiva. En lugar de intentar prevenir comandos de actualización perdidos, Phoenix detecta una actualización perdida y resincroniza la ejecución del patrón en consecuencia. Esta técnica permite a Phoenix permanecer sincronizado con los comandos de actualización durante ventanas de actualización completas, lo que es suficiente para inducir inversiones de bits con nuevos patrones. security.googleblog+ 4
Modelo matemático de sincronización autocorrectiva:
Eludiendo TRR explotando puntos ciegos
Phoenix explota puntos ciegos en el mecanismo TRR—ventanas temporales y espaciales donde el monitoreo de activación de filas se debilita. Los investigadores descubrieron que el muestreador TRR debe muestrear consistentemente accesos al mismo conjunto de filas, lo que permite que los accesos (no muestreados) a otras filas continúen martillando sin la intervención de las operaciones de actualización TRR. Phoenix sincroniza los patrones de acceso con los comandos de actualización para que las filas víctimas estén fuera de la zona activa de monitoreo TRR en puntos críticos del tiempo. vusec+ 7
Configuración de prueba y dispositivos afectados
Los investigadores de ETH Zurich probaron Phoenix en 15 módulos UDIMM DDR5 fabricados por SK Hynix, producidos entre 2021 y 2024. Todos los dispositivos probados demostraron vulnerabilidad a Phoenix, induciendo con éxito inversiones de bits en segundos en cada módulo. Las pruebas se realizaron en una plataforma con un procesador AMD Zen 4 y plataformas de prueba Rowhammer especializadas basadas en FPGA desarrolladas conjuntamente con Antmicro. theregister+ 8
Уязвимость CVE-2025-6202 зарегистрирована с базовым CVSS-скором 7.1 (High severity). Vulnerability description: «Vulnerability in SK Hynix DDR5 on x86 allows a local attacker to trigger Rowhammer bit flips impacting the Hardware Integrity and the system’s security. This issue affects DDR5: DIMMs produced from 2021-1 until 2024-12».thehackernews+5
Lista de procesadores AMD afectados con soporte DDR5: amd
Procesadores AMD EPYC 8004, 9004, 9005 Series; AMD EPYC 9004, 9005 Embedded Series; AMD Ryzen 6000, 7000, 7035, 7040, 7045, 8000, 8040, 9000 Series; AMD Ryzen 9000HX Series; AMD Ryzen AI 300, AI Max 300 Series; AMD Ryzen Threadripper 7000, 9000; AMD Ryzen Embedded 7000, 8000, 9000 Series.amd
Escenarios prácticos de ataque y características de tiempo
Los investigadores demostraron tres escenarios de explotación de extremo a extremo para Phoenix: techradar+ 5
1. Manipulación de entradas de tabla de páginas (PTE) para escalada de privilegios: Phoenix realiza con éxito inversiones de bits en entradas de tabla de páginas con una tasa de éxito del 100% , obteniendo acceso no autorizado a áreas de memoria restringidas. Esto permite a un atacante local sin privilegios modificar su propia tabla de páginas, obteniendo acceso de lectura-escritura a toda la memoria física del sistema. pmc.ncbi.nlm.nih+ 4
2. Extracción de claves SSH de máquinas virtuales: Phoenix demuestra una tasa de éxito del 73% en la extracción de claves SSH privadas RSA-2048 de una máquina virtual co-ubicada en el mismo servidor físico. Esta es una amenaza crítica para entornos de computación en la nube donde múltiples VM comparten la misma memoria física. kaspersky+ 5
3. Escalada de privilegios a root mediante manipulación del binario sudo: Phoenix logra una probabilidad del 33% de obtener acceso root mediante la manipulación del binario en memoria de sudo. La escalada completa de privilegios a root en un sistema comercial con configuración predeterminada se logra en aproximadamente 109 segundos (menos de 2 minutos). linkedin+5
Fundamentos teóricos de un ataque de inyección de fallos ECDSA
El algoritmo de firma digital de curva elíptica (ECDSA) es una primitiva criptográfica fundamental en Bitcoin, que proporciona autenticación de transacciones y prueba de propiedad de activos digitales. La clave privada en ECDSA es un valor escalar ddd (256 bits para secp256k1), a partir del cual se calcula la clave pública: Q = d⋅GQ = d \cdot GQ = d⋅G, donde GGG es el punto base de la curva elíptica. digital.wpi+ 7
Estructura de la firma ECDSA:
Para un mensaje mmm con hash h=H(m)h = H(m)h=H(m), la firma consiste en el par (r,s)(r, s)(r,s), donde:
donde kkk es un nonce aleatorio, nnn es el orden del grupo de puntos en la curva secp256k1. securityboulevard+ 4
Ataque de inyección de fallos mediante inversiones de bits inducidas por Rowhammer
La investigación de Rubber Mallet (arXiv:2505.01518, mayo de 2025) demostró que las técnicas avanzadas de Rowhammer pueden inducir múltiples inversiones de bits adyacentes a una tasa significativamente mayor que la documentada anteriormente. De manera crítica, estas inversiones correlacionadas permiten ataques efectivos de corrección de firmas criptográficas, demostrando cómo tales inversiones pueden permitir la recuperación de claves privadas ECDSA de implementaciones de OpenSSL donde los enfoques de un solo bit serían inviables. arxiv+ 2
Mecanismo de ataque de inversión de bits en una clave privada:
Supongamos que un atacante puede inducir una inversión de bit en el bit menos significativo (LSB) de la clave privada ddd almacenada en RAM antes de la operación de firma. Una inversión de bit en el LSB conducirá a uno de dos resultados: trailofbits+ 2
Caso 1: Bit 0 → 1, que es equivalente a d′=d+1d’ = d + 1d′=d+1
Caso 2: Bit 1 → 0, que es equivalente a d′=d−1d’ = d − 1d′=d−1
Una firma creada con la clave modificada d′d’d′ puede verificarse utilizando la clave pública modificada:
Un atacante genera una firma con una clave privada invertida, luego verifica la verificación de la firma usando Q + GQ + GQ + G y Q − GQ − GQ − GQ − G. Si la firma se verifica con Q + GQ + GQ + G, el bit original era 0; si con Q − GQ − GQ − G, el bit era 1. Al repetir este proceso para otras posiciones de bits (invirtiendo bits en las posiciones 20, 21, 22, …, 2255 2^0, 2^1, 2^2, …, 2^{255} 20, 21, 22, …, 2255 y verificando con Q ±2i⋅GQ \pm 2^i \cdot GQ ±2i⋅G), el atacante puede reconstruir bit a bit toda la clave privada ddd. arxiv+ 5
Demostración experimental en OpenSSL ECDSA
En el artículo de Kwong et al. (arXiv:2505.01518), los investigadores demostraron con éxito la extracción de extremo a extremo de claves privadas ECDSA de una implementación de OpenSSL mediante la alteración de bits por Rowhammer. Los experimentos se realizaron en varias configuraciones de memoria DDR4 (Corsair Vengeance, G.SKILL Ripjaws) utilizando las herramientas Rowhammer TRRespass y BlackSmith. Un descubrimiento crítico es la alta frecuencia de alteraciones de bits localizadas —múltiples alteraciones de bits agrupadas dentro de la misma fila de DRAM. arxiv+ 2
Un estudio de Rahman et al. (2023) (digital.wpi.edu) demostró un ataque a la recuperación de claves secretas ECDSA en memoria DRAM Samsung M378B5773DH0-2GB mediante inyección de fallos en un servidor TLS. Los investigadores iniciaron 29,918 conexiones al servidor inyectando fallos en la memoria del servidor y recopilaron con éxito firmas defectuosas para recuperar la clave privada. Aunque el tamaño de la clave ECDSA de 256 bits es significativamente menor que el tamaño de página de memoria de 32,768 bits (la mayoría de los bits alterados están fuera de la clave), el ataque sigue teniendo éxito con un número suficiente de intentos. digital.wpi
Almacenamiento de claves privadas en RAM y vectores de ataque
Las carteras de Bitcoin, tanto de software como algunas de hardware, inevitablemente cargan claves privadas en la RAM al realizar operaciones críticas: firmar transacciones, inicializar la cartera, derivar claves a partir de frases semilla y descifrar archivos wallet.dat. Incluso cuando se utiliza cifrado AES-256-CBC para proteger wallet.dat (como en Bitcoin Core), la clave privada debe descifrarse temporalmente y almacenarse en la RAM para firmar una transacción. cryptodeeptech+ 6
Modelo de amenaza para ataques Rowhammer a carteras de Bitcoin:
Escenario 1: Atacante local en un sistema de escritorio. El atacante ejecuta una aplicación maliciosa en el mismo ordenador que la cartera de Bitcoin de la víctima. El proceso malicioso induce alteraciones de bits por Rowhammer en regiones de memoria donde Bitcoin Core u otra cartera almacena claves privadas descifradas durante las operaciones de firma. Phoenix demostró la capacidad de leer y escribir datos arbitrarios desde memoria de alta precisión en sistemas DDR5. github+ 9
Escenario 2: Ataque de co-ubicación en la nube/VPS. Muchos usuarios de nodos y carteras de Bitcoin alojan sus servicios en servidores privados virtuales (VPS) en plataformas en la nube. Phoenix demostró una tasa de éxito del 73% en la extracción de claves SSH RSA-2048 de una VM co-ubicada. Un ataque similar podría dirigirse a claves privadas de Bitcoin almacenadas en la memoria de una VM que ejecute un nodo Bitcoin Core u otros servicios de cartera. tomshardware+ 5
Escenario 3: Rowhammer en dispositivos Android para carteras móviles de Bitcoin. La combinación de Pixnapping (CVE-2025-48561) y posibles variantes de Rowhammer para LPDDR4/LPDDR5 móvil crea una amenaza de múltiples capas. Aunque Phoenix es específico para DDR5 de escritorio, la investigación muestra que LPDDR4 también incluye mecanismos TRR y es potencialmente vulnerable a ataques Rowhammer adaptados. wikipedia+ 1
Modelo matemático para extraer una clave privada de Bitcoin mediante alteraciones de bits:
Supongamos que una clave privada de Bitcoin de 256 bits ddd está almacenada en memoria en la dirección AkeyA_{key}Akey. Un atacante de rowhammer puede inducir una alteración de bit en el bit iii (donde 0≤i≤2550 \le i \le 2550≤i≤255), modificando la clave a d′=d⊕2id’ = d \oplus 2^id′=d⊕2i (XOR con 2i2^i2i). Para recuperar la clave original, el atacante recopila muchas firmas defectuosas {(rj,sj)}\{(r_j, s_j)\}{(rj,sj)}, cada una creada con una versión diferente de la clave con bits alterados dj′d_j’dj′.
Utilizando métodos de ataque de retículos (por ejemplo, el solucionador del Problema del Número Oculto), un atacante puede recuperar ddd con probabilidad de éxito:
donde PflipP_{flip}Pflip es la probabilidad de alterar con éxito el bit deseado, NsamplesN_{samples}Nsamples es el número de firmas defectuosas recopiladas. pmc.ncbi.nlm.nih+ 3
SOFTWARE ATTACKSAFE y herramienta rowhammer_attack
El ecosistema de seguridad de criptomonedas incluye programas especializados para analizar vulnerabilidades relacionadas con Rowhammer. El repositorio de GitHub demining/Rowhammer-Attack demuestra la aplicación práctica del Análisis Diferencial de Fallos de Firmas para ECDSA con el fin de derivar claves privadas de transacciones en cinco carteras de Bitcoin diferentes .
Ejemplo práctico de uso:
./attacksafe -tool rowhammer_attack -open RawTX.txt -save SecretKey.txtLa herramienta analiza transacciones RawTX de Bitcoin y extrae los parámetros de firma ECDSA (r,s)(r,s)(r,s). Si se detecta un patrón que indica una firma defectuosa o reutilización de nonce, la herramienta aplica técnicas criptoanalíticas para recuperar la clave secreta KKK (nonce) o la clave privada ddd. github
Ejemplo de una extracción exitosa: github
Deployments ECDSA:
SecretKey = 0xe5fa9dccef88781e25e77bd1ea7830c0b33c57481b79007cda117da8139ea7c3
RawTX = 010000000104118e34a0d3c06c842d14707ed5f333d3ba1d35240086a4b5738a2fa810abec1d0000006a473044022004b1d0c7d278439811c27d9ff06b3bb0fd20d5cc90d97083266bdba7d0693bb20220282c6cea6b9ad6f4633596204ebad4716e2a086090faf62a6908bf63a1724ad501210335a395eca8191c43ccee4d91e98b9baef39476d7482cf636e5b71975c69feebdffffffff014e020000000000001976a914154813f71552c59487efa3b16d62bfb009dc5f1e88ac00000000La etiqueta “Deployments ECDSA” indica una vulnerabilidad crítica en la transacción de la cadena de bloques de Bitcoin. La clave secreta “K” en formato HEX representa el nonce utilizado para generar la firma. github
Plataformas de prueba Rowhammer de código abierto basadas en FPGA
Google y ETH Zürich han desarrollado plataformas de prueba especializadas de código abierto basadas en FPGA para analizar vulnerabilidades Rowhammer en DDR5. En colaboración con Antmicro, se crearon dos plataformas: security.googleblog
Plataforma DDR5 RDIMM: Nueva placa de prueba DDR5 Tester para probar memoria DIMM Registrada (RDIMM), comúnmente encontrada en servidores. security.googleblog
Plataforma SO-DIMM: Una versión que admite pines SO-DIMM estándar, compatible con módulos de memoria DDR5 SO-DIMM disponibles comercialmente, comunes en estaciones de trabajo y dispositivos de usuario final. security.googleblog
Estas plataformas están disponibles en GitHub (comsec.ethz.ch/phoenix) y permiten a los investigadores de seguridad realizar análisis detallados de la susceptibilidad a Rowhammer de diversas configuraciones de DRAM. comsec.ethz+1
Aumentar la tasa de refresco: un equilibrio entre seguridad y rendimiento
Los investigadores de Phoenix recomiendan aumentar la tasa de refresco en un factor de 3 (de 3.9 µs a ~1.3 µs) como contramedida efectiva. Sin embargo, esto resulta en una caída del rendimiento del 8.4% , lo que representa un equilibrio significativo para los sistemas de producción. Críticamente, los dispositivos DRAM no pueden parchearse mediante actualizaciones de firmware: la naturaleza física de la vulnerabilidad significa que los módulos afectados permanecerán vulnerables durante todo su ciclo de vida. techradar+ 5
Efectividad limitada de ECC y ECC en chip
Phoenix demostró que el Código de Corrección de Errores (ECC) integrado en DDR5 no detiene Rowhammer . El ECC en chip está diseñado para corregir errores de un solo bit y algunos errores de múltiples bits que surgen de la degradación natural de las celdas DRAM. Sin embargo, Rowhammer puede inducir múltiples alteraciones de bits correlacionadas en la misma región de memoria, superando la capacidad correctiva del ECC. reddit+ 7
Imposibilidad de correcciones de hardware retrospectivas
A diferencia de las vulnerabilidades de software que pueden parchearse con actualizaciones de seguridad, Rowhammer representa un problema físico fundamental de la arquitectura DRAM. A partir de octubre de 2025, ningún fabricante de GPU o DRAM se ha comprometido a corregir la vulnerabilidad de hardware a nivel de diseño de chip. Esto significa que miles de millones de dispositivos que utilizan la memoria afectada permanecerán potencialmente vulnerables durante años. pixnapping+12
Estrategia de seguridad de múltiples capas para tenedores de criptomonedas:
1. Carteras de hardware con memoria aislada. Utilice carteras de hardware (Ledger, Trezor, BC Vault One) con memoria ferroeléctrica de acceso aleatorio (FeRAM) o elementos seguros que aíslen las claves privadas de la DRAM principal del sistema. BC Vault One utiliza FeRAM para almacenar la clave privada, proporcionando aislamiento físico de los ataques Rowhammer a la memoria del sistema. youtube itnext+ 3
2. Evite almacenar grandes cantidades en carteras activas en sistemas DDR5. Los usuarios que ejecutan Bitcoin Core u otras carteras de software en sistemas SK Hynix DDR5 (2021-2024) deben minimizar la exposición moviendo sus activos principales a almacenamiento en frío. github+ 3
3. Aísle las operaciones de firma en entornos con desconexión de red. Para transacciones de alto valor, utilice firma fuera de línea en sistemas aislados que nunca se conecten a la red y no ejecuten código no confiable. itnext+ 2
4. Auditoría regular de memoria y detección de anomalías. Monitorear la memoria del sistema para detectar patrones de acceso sospechosos característicos de ataques Rowhammer (activaciones de filas de alta frecuencia, patrones de refresco anómalos). pmc.ncbi.nlm.nih+ 3
5. Actualice a sistemas parcheados cuando estén disponibles. Si bien una corrección de hardware no es posible, los futuros chips DDR5 (posteriores a 2024) pueden incluir mecanismos TRR mejorados. Los usuarios deben monitorear los boletines de seguridad de los fabricantes de DRAM y actualizar su hardware cuando se publiquen módulos más seguros. github+4
La combinación de los ataques Pixnapping (CVE-2025-48561) y Phoenix Rowhammer (CVE-2025-6202) demuestra una evolución crítica en el panorama de amenazas a la seguridad de las criptomonedas. Pixnapping ataca la capa de hardware y software de Android mediante canales laterales GPU.zip y la API de desenfoque de ventanas para interceptar visualmente frases semilla. Phoenix ataca la capa física fundamental de la DRAM mediante la inducción de interferencia electromagnética, permitiendo la manipulación directa de bits de claves criptográficas en memoria. bleepingcomputer+ 10
Ambos ataques evaden las protecciones de software tradicionales explotando características de hardware de los dispositivos que no pueden parchearse. Para los usuarios de Bitcoin, esto significa que es necesario un replanteamiento fundamental del modelo de amenaza: la seguridad criptográfica ya no está garantizada únicamente por la complejidad matemática de ECDSA o la fiabilidad de las frases semilla—las propiedades físicas del hardware se convierten en la superficie de ataque crítica. arxiv+ 9
Recuperar claves privadas de carteras de Bitcoin perdidas explotando estas vulnerabilidades representa tanto una tarea legítima para los servicios de recuperación como un vector de ataque peligroso para los atacantes. El futuro de la seguridad de las criptomonedas requiere un enfoque holístico que integre garantías de seguridad a nivel de hardware, implementaciones criptográficas con verificación formal y monitoreo continuo de amenazas emergentes de canales laterales. trailofbits+ 7
La vulnerabilidad Pixnapping representa una evolución significativa en los ataques móviles, demostrando cómo las optimizaciones de rendimiento modernas pueden ser explotadas. El ataque es particularmente peligroso para los usuarios de criptomonedas, ya que comprometer la frase semilla puede llevar a la pérdida completa de fondos. gbhackers
La naturaleza fundamental de las vulnerabilidades explotadas—el uso de APIs legítimas de Android y optimizaciones de hardware de GPU—indica que una solución completa requerirá un esfuerzo coordinado de Google, los fabricantes de dispositivos y los proveedores de GPU. pixnapping+ 1
La investigación de Pixnapping destaca la importancia crítica de considerar las implicaciones de seguridad al implementar nuevas funciones del sistema y optimizaciones de hardware. A medida que los dispositivos móviles se convierten en la herramienta principal para gestionar activos digitales, protegerse contra ataques tan sofisticados se vuelve vital para la seguridad del ecosistema.
Se espera que el parche de diciembre de Google proporcione una protección más robusta, pero una solución a largo plazo requerirá cambios fundamentales en la arquitectura de Android y posiblemente en el hardware de GPU. Hasta entonces, los usuarios deben seguir las recomendaciones de seguridad y tener especial precaución al manejar activos de criptomonedas en dispositivos Android.
Por lo tanto, la vulnerabilidad Pixnapping (CVE-2025-48561) no es solo otro ejemplo de una falla de software, sino una demostración de una clase fundamentalmente nueva de ataques que amenazan los cimientos de la seguridad criptográfica de los activos digitales. El estudio mostró que incluso elementos visualmente inviolables de la interfaz de usuario de Android pueden convertirse en una fuente de fuga crítica de datos—desde claves privadas y frases semilla hasta códigos 2FA de un solo uso que protegen las carteras de criptomonedas. Esencialmente, cada píxel en la pantalla se convierte en un eslabón débil en la cadena de autenticación criptográfica.
Pixnapping es particularmente peligroso debido a su sigilo y versatilidad . El ataque no requiere privilegios, elude al usuario y es capaz de reconstruir la imagen de la pantalla hasta píxeles individuales utilizando el canal lateral de hardware GPU.zip . Esto convierte a cualquier dispositivo Android en una fuente potencial de compromiso de datos sensibles, incluyendo Bitcoin (BTC), Ethereum (ETH), XRP, Litecoin (LTC), y otras criptomonedas almacenadas en carteras móviles.
El hecho de que este ataque funcione incluso con las últimas versiones de Android y GPUs modernas apunta a una vulnerabilidad fundamental en la arquitectura de los sistemas móviles , donde las optimizaciones de rendimiento y visuales entran en conflicto con los requisitos de privacidad. Pixnapping destruye la ilusión de aislamiento visual entre aplicaciones, demostrando que la protección de la información criptográfica debe considerar no solo las vulnerabilidades de red y lógicas, sino también los efectos secundarios físicos y gráficos de la computación .
Para garantizar la estabilidad del ecosistema de criptomonedas, se necesitan medidas sistémicas: endurecer las políticas de seguridad de Android, restringir el acceso de aplicaciones de terceros a APIs gráficas de bajo nivel y revisar los principios arquitectónicos de la compresión de datos de GPU. Sin tales barreras, incluso los algoritmos de cifrado más seguros pueden ser vulnerables a ataques capaces de robar claves literalmente desde la pantalla.
En última instancia, Pixnapping sirvió como una seria advertencia para toda la industria: la protección criptográfica no tiene sentido sin aislamiento de hardware y visual . Si los datos visuales mostrados en una pantalla pueden ser reconstruidos por un proceso externo, entonces cada animación en pantalla, cada frase semilla o código QR se convierte en un canal directo para filtrar fondos. Para los usuarios de criptomonedas, esto significa una cosa: incluso la aparición instantánea de una clave privada en la pantalla puede costarles ahora todo su capital digital.
Este material fue creado para el portal CRYPTO DEEP TECH para garantizar la seguridad de los datos financieros y la criptografía de curva elíptica (secp256k1) contra firmas ECDSA débiles en la criptomoneda BITCOIN . Los desarrolladores de software no son responsables del uso de este material.
Telegram: https://t.me/cryptodeeptech
Video: https://youtu.be/qZvJUonp228
Tutorial en video: https://dzen.ru/video/watch/68ff42ad9f0528014a4b1cf8
Fuente: https://cryptodeeptech.ru/phoenix-rowhammer-attack