Мобильные игры грозят украсть криптовалютные кошельки! Движок Unity срочно исправляет «уязвимость 8-летней давности»

Движок Unity обнаружил существующую с 2017 года уязвимость программы, которая может привести к утечке криптовалютных кошельков. Поскольку более 70% популярных мобильных игр созданы на Unity, это вызвало панику среди игроков.
(Предварительное резюме: в Steam-игре живого игрока-рака взломали зашифрованный кошелек, а Valve срочно удалила скрытую троянскую игру)
(Справочное дополнение: OpenAI помогает создавать анимационные фильмы! Маск не прогадает: xAI и «Канун Звездных войн» обсуждают сотрудничество в разработке игр с искусственным интеллектом)

Существование движка Unity можно проследить с 2017 года. Уязвимость «внедрения кода» в 2016 год затронул около 70% самых популярных мобильных игр в мире. Хакеры могут получить доступ к системам Android, Windows, macOS и Linux через зараженные игры и украсть мнемонику криптокошелька или закрытые ключи. По данным Cointelegraph, хотя уязвимость была подтверждена, Google отметил, что в Play Store «не обнаружено» реальных уголовных дел.

Объем уязвимостей и пути атак

Unity доминирует на рынке мобильных игр: на ней создано более 50% новых игр, что позволяет уязвимостям распространяться на большое количество игроков. Хакеры могут внедрить вредоносный код в приложение, а затем создать поддельный экран входа в систему, чтобы обманом заставить пользователей ввести пароль своего кошелька с помощью наложенных атак, захвата ввода или создания снимков экрана. Однако команда Google APP заявила:

На основании наших текущих обнаружений вредоносные приложения, использующие эту уязвимость, не были обнаружены в Play Store.

По сравнению с Google Play, который официально подвергается цензуре, загрузка неопубликованных приложений при установке APK со сторонних веб-сайтов сопряжена с более высоким риском. В нем не только отсутствует предварительное сканирование, но он также не может автоматически получать патчи, впоследствии выпущенные Unity и разработчиками.

Unity начала предоставлять партнерам инструменты для исправлений и планирует публично обновить свои рекомендации на следующей неделе. До полной реализации патча игроки могут воспользоваться четырьмя способами защиты своих криптоактивов:

• Обновлять игры и системы в любое время.
• Избегать загрузки APK-файлов из неизвестных источников.
• Проверять и закрывать ненужные разрешения, например наложение на другие приложения.
• Отдельные устройства, на которых хранится большое количество криптоактивов, от мобильных телефонов, используемых для игр.