imToken钱包漏洞被曝，黑客数小时可破解助记词盗币

全球用户量领先的去中心化加密钱包imToken被曝存在严重设计缺陷。安全研究人员发现，其Android端助记词生成机制存在致命问题，导致出现imToken钱包漏洞，攻击者可在数小时内暴力破解用户助记词并完全控制钱包资产。

✦伪随机数生成器种子空间受限

imToken创立于2016年，截至2025年全球累计注册用户超3000万，是亚太地区用户量较大的去中心化钱包之一。其核心机制为私钥由用户本地管理，助记词一旦确定，钱包地址和资产归属即完全锁定。然而，研究人员指出imToken在Android平台生成助记词时，使用了java.util.Random作为伪随机数生成器。该算法种子仅48位且为确定性线性同余生成器，叠加BIP39标准2048词固定单词表，构成了两处致命设计缺陷。

✦暴力破解复杂度骤降与资产风险

由于上述设计问题，攻击者仅需观测两个输出值即可反推全部种子。这使得暴力破解复杂度从2^128骤降至2^48，普通GPU集群数小时即可完成全量搜索，从而利用imToken钱包漏洞获取用户资产。此外，有网传消息指其团队内部疑遭攻击，已有数百万美元资产被盗，但该说法尚未得到官方证实。