Специалисты подразделения Donjon компании Ledger, занимающейся производством аппаратных кошельков для криптовалют, обнаружили критическую уязвимость в процессорах MediaTek. В ходе эксперимента исследователи подключили смартфон Nothing CMF Phone 1 к портативному компьютеру и за 45 секунд получили доступ к защищенной информации устройства. Атака проводилась на выключенном телефоне и не требовала загрузки операционной системы Android.
Проблема получила идентификатор CVE-2026-20435 и затрагивает доверенную среду выполнения Trustonic TEE (Trusted Execution Environment), используемую во многих чипах MediaTek. TEE представляет собой изолированную область внутри основного процессора, предназначенную для обработки конфиденциальных данных и криптографических операций. Разработчики встроили эту среду непосредственно в системную логику чипа, что создало потенциальную брешь в защите.
Метод взлома основывался на подключении скомпрометированного устройства к компьютеру через интерфейс USB на ранних этапах загрузки, еще до старта Android. Вредоносная программа автоматически считывала PIN-код блокировки экрана, расшифровывала хранилище данных и извлекала секретные фразы (seed-фразы) из программных криптовалютных кошельков. Получение seed-фразы равносильно полной утрате контроля над цифровыми активами, поскольку эта информация служит главным ключом доступа к средствам.
Техническая особенность уязвимости кроется в архитектурном решении, при котором критически важные функции безопасности реализованы в виде встроенного компонента основного процессора, а не вынесены в отдельную физическую микросхему. Такой подход, нацеленный на удешевление и упрощение производства, делает устройства уязвимыми для атак, требующих физического доступа. Альтернативные архитектуры, применяемые в устройствах Google Pixel (чип Titan M2), iPhone (Secure Enclave) и ряде аппаратов на Snapdragon (выделенное защитное ядро), предусматривают аппаратную изоляцию секьюрных элементов, что существенно повышает устойчивость к подобным атакам.
По оценкам Ledger, уязвимость потенциально затрагивает значительную долю Android-устройств — около четверти рынка, преимущественно в бюджетном и среднем ценовых сегментах. В списке подверженных риску оказались процессоры MediaTek различных линеек, включая MT6739, серии Dimensity 7000, 8000 и 9000, а также ряд чипов для планшетов. Эти компоненты устанавливаются в телефоны таких производителей, как Samsung, OPPO, vivo, OnePlus, Nothing и других. Подтверждена уязвимость модели Solana Seeker.
Исследователи Donjon уведомили MediaTek о проблеме в соответствии с принятой практикой ответственного раскрытия информации до публичного объявления. Производитель чипов подтвердил получение отчета и 5 января 2026 года предоставил патчи производителям устройств. Корректирующие обновления включены в мартовский бюллетень безопасности MediaTek. Ответственность за распространение исправлений среди конечных пользователей теперь лежит на компаниях-изготовителях смартфонов. Скорость выпуска обновлений варьируется в зависимости от политики вендора и модели устройства, при этом аппараты начального уровня и устаревшие модели могут не получить исправления вовсе.
Это не первый случай, когда команда Donjon выявляет серьезные изъяны в продукции MediaTek. Ранее исследователи находили уязвимости, связанные с внедрением неисправностей (fault injection) в чипе Dimensity 7300, которые также позволяли полностью обойти защитные механизмы. В ответ на те находки в MediaTek заявляли, что подобные атаки не входят в модель угроз, предусмотренную для их продуктов.
Технический директор Ledger Шарль Гийме обратил внимание на фундаментальную проблему архитектуры безопасности потребительской электроники. По его словам, процессоры общего назначения проектируются с приоритетом удобства, тогда как выделенные защитные компоненты изначально создаются для надежного хранения ключей. Разница в подходах объясняет, почему атака на TEE, интегрированный в SoC, оказывается успешной, в то время как взлом отдельного чипа потребовал бы несопоставимо больших ресурсов. Исследователи подчеркивают, что публикация данных о CVE-2026-20435 преследует цель не вызвать панику, а дать индустрии возможность устранить брешь до того, как ею воспользуются злоумышленники. На данный момент нет подтвержденных данных об использовании этой уязвимости в реальных кибератаках.