应用商店出现SparkKitty恶意软件，扫描相册窃取加密货币助记词

最近有新型手机盗币病毒在应用商店泛滥，伪装成加密钱包、聊天软件骗大家下载。它偷偷读取相册，自动识别图片里的助记词，全程悄无声息，很难发现。就算你事后删掉软件、删掉存有助记词的截图，黑客早就把密钥存好了，随时能转走你的币。下面小编简单梳理了SparkKitty移动端恶意软件的攻击手法以及带来的警示。

一场通过苹果AppStore与谷歌GooglePlay分发的移动端恶意软件攻击活动，可访问用户相册，搜寻加密货币钱包恢复助记词及其他敏感数据。

思安点（CheckPoint）外部风险管理部门发布最新分析报告，详细说明SparkKitty依托伪装应用扩散，这些应用对外伪装成加密服务、即时通讯平台与影音娱乐产品。该恶意软件针对安卓、iOS设备，传播渠道包含官方应用商店、第三方应用市场与侧载安装包。

卡巴斯基于2025年6月首次记录SparkKitty攻击活动，溯源发现该攻击最早可追溯至2024年2月。这份最新报告再次让市场关注该恶意软件的核心能力：它可识别截图、照片内存储的钱包凭证，无需诱导用户在钓鱼页面手动输入信息。

iOS端恶意代码内嵌在一款名为币coin的加密相关应用中；安卓用户则会在SOEX这款即时通讯软件内遭遇SparkKitty，该应用还宣称内置加密货币交易功能。

SOEX通过了谷歌应用商店的审核流程，累计下载量超1万次，谷歌在收到安全通报后将其下架。苹果也同步下架了这款存在恶意代码的iOS应用。

相册权限漏洞暴露钱包备份

受感染应用会申请设备相册访问权限，同时正常运行商店展示页面标注的基础功能。

一旦用户授予相册权限，SparkKitty会采集设备内所有已有图片，并持续监控新增图片文件。部分恶意变种直接上传全部相册内容，另一相关样本则利用光学字符识别技术，筛选包含恢复助记词、密码、二维码及其他文字信息的图片。

被盗文件将与设备信息一同发送至攻击者管控的命令控制服务器。攻击者获取完整助记词后，可在其他设备导入兼容钱包转移资产，无需原手机或钱包密码。

若用户安装过涉毒应用，且相册内存放钱包恢复词组，则该钱包需认定为已遭入侵。即便删除照片、卸载应用，也无法挽回已被盗取的助记词。用户需将剩余资产转移至全新设备、由全新助记词生成的新钱包。

恶意软件攻击趋势转向窃取钱包密钥信息

继多起以窃取加密钱包恢复凭证为目标的攻击事件后，SparkKitty同类攻击再度出现。此前被污染的Injectivenpm软件包，会在开发者通过带毒软件开发工具包创建、加载钱包时窃取助记词与私钥，该恶意版本污染了18个软件包后才被下架替换。

微软也曾追踪通过受感染U盘传播的Crypto Bandits恶意软件，该程序集成助记词窃取、截图盗取、剪贴板监控、篡改加密地址等多种窃取手段。

思安点未披露遭入侵钱包确切数量，以及SparkKitty攻击被盗加密资产总价值。目前两款涉毒应用均已从苹果AppStore与谷歌GooglePlay下架。