Leak Android baru ditemukan, memungkinkan aplikasi apapun mengirim trafik di luar tunnel VPN, meskipun "Block all connections without VPN" aktif. Aplikasi jahat tidak perlu izin khusus untuk melakukan serangan ini, mengekspos alamat IP asli perangkat untuk pelacakan atau pengawasan yang potencial. Peneliti masalah ini dikirim ke Android Vulnerability Reward Program, tetapi ditutup tanpa tindakan. Graphene OS sadar dan memperbaikinya.

Detail teknis mengungkap bahwa leak koneksi UDP keep-alive yang di-offload ke hardware Wi-Fi atau seluler. Tujuannya NAT traversal, tetapi aplikasi jahat dapat manfaatkan ini untuk mengirim paket UDP ke port 4500 ke server manapun. Paket-paket ini bypass VPN checks karena dikirim langsung dari hardware jaringan.

Mullvad menyinggung bahwa mitigasi teoritis mungkin dengan mengisi kapasitas hardware keep-alive, tetapi mereka tidak mengimplementasikannya karena masih mengirim paket di luar tunnel dan tidak terjamin bekerja jika aplikasi jahat leak memulai pertama. Kesimpulan menekankan hanya menginstal aplikasi yang dipercaya dan menggunakan fork Android fokus privasi seperti Graphene OS.