Die Android-Schwachstelle ist bereits ausgenutzt worden: Betrüger haben Bitcoin-Konten um den Gegenwert von mehreren Tausend US-Dollar erleichtert. Der Plattform-Betreiber sichert die Bitcoin-Transaktionen mit Hilfe des Android-eigenen Verschlüsselungsverfahrens. Von dem Sicherheitsrisiko betroffen sind allerdings wohl auch viele andere Android-Apps, deren Anbieter sich für die Verschlüsselung auf die von Googles Implementierung der Java-Klasse SecureRandom erzeugten Zufallszahlen stützen. Die Sicherheitsexperten von Symantec haben 360.000 Anwendungen identifiziert, die SecureRandom nutzen. 320.000 von ihnen verschlüsseln auf ähnliche Weise wie Bitcoin.
Google hat die Schwachstelle in Android inzwischen bestätigt. Laut einem Beitrag im Android-Developer-Blog kommt es aufgrund einer unzureichenden Initialisierung des Pseudo-Zufalls-Zahlen-Generators (Pseudo Random Number Generator, PRNG) zu schwachen Zufallszahlen. Konkret führte dies bei den Bitcoin-Abgriffen zur mehrmaligen Verwendung von derselben Zufallszahl zum Erzeugen der Signaturen für Transaktionen, so dass Betrüger den privaten Schlüssel des Besitzers des Bitcoin-Wallets herausfinden konnten.
Google hat nach eigenen Angaben Patches an die Partnerunternehmen der Open Handset Alliance (OHA) verteilt, die dafür sorgen sollen, dass Androids OpenSSL PRNG richtig funktioniert. Laut Symantec sind Geräte mit den Android-Versionen 4.2 und 4.3 nicht von der Schwachstelle betroffen.