imToken被曝设计缺陷：黑客数小时可暴力破解助记词盗取资产

imToken被曝设计缺陷：黑客数小时可暴力破解助记词盗取资产 imToken作为全球用户量领先的去中心化加密钱包，其助记词生成机制存在两处致命设计缺陷——底层伪随机数生成器种子空间仅48位、BIP39单词表仅2048个词汇。两者叠加后，攻击者可在数小时内从哈希反推出原始助记词，完全控制钱包资产。 imToken创立于2016年，截至2025年全球累计注册用户超3000万，是亚太地区用户量最大的去中心化钱包之一。其核心卖点“私钥由用户本地管理”意味着助记词一旦确定，钱包资产归属即完全确定。然而研究发现，imToken在Android平台生成助记词时使用了java.util.Random，该类内部种子仅为48位（6字节），算法为确定性线性同余生成器。攻击者只需观测到任意两个输出值，即可在O(2^48)时间复杂度内反推全部种子，进而还原整个助记词序列。…