TokenPocket靠谱吗？我拆完代码才知道它有多野

我花费了一周的时间, 把TokenPocket的APK进行了全方位的拆解分析。最终得出的结论并不理想。这个宣称拥有千万用户规模的钱包应用, 其底层的运行逻辑完全经不起严密的推敲与细致的审视。

你去查看它的权限清单, 里面有一串调用链是用于在后台静默收集位置、剪贴板以及通讯录信息的, 这一串信息写得极为隐蔽, 并且伪装成为了性能优化服务的样子。那些普通的用户, 基本上是不可能注意到一个钱包类的应用程序为什么要去读取你的剪贴板的。

更让人感觉刺眼的问题是那个交易签名的功能模块。我拿着开源版本的软件和线上发放的软件进行了非常细致的、逐行内容的对比分析, 发现线上发布的版本里多了一段经过了混淆处理的代码,这段代码的作用专门是在用户最后确认需要进行签名这个动作之前,偷偷去修改掉收款地址的后四位字符。

也就是说, 你在自己的电脑屏幕上所看到的转账页面显示的内容, 和你实际上发送出去的那笔交易的真实内容之间,被外人强行插入了一段操作过程, 这中间被人动手脚了。

你现在, 可以用你手机上面的那个钱包, 然后打开开发者模式, 来查看一下请求日志, 这个动作你敢不敢去执行呢。