Binance‑Mitgründer Changpeng Zhao (CZ) und das Blockchain‑Sicherheitsunternehmen CertiK gaben am 6. November koordinierte Warnungen heraus und forderten iPhone‑Nutzer auf, die neuesten iOS‑Updates zu installieren. Beide Warnungen beziehen sich auf das DarkSword‑Exploit‑Kit, das Kryptowallet‑Dateien, Wiederherstellungsphrasen und andere sensible Daten allein durch das Laden einer bösartigen Website in Safari erbeuten kann, selbst wenn keine Wallet‑App geöffnet oder Transaktion signiert wird.

Wie DarkSword auf iOS funktioniert

Laut CertiK verknüpft die neueste P7‑Variante von DarkSword sechs iOS‑Schwachstellen, die von Googles Threat Intelligence Group für die Versionen 18.4 bis 18.7 dokumentiert wurden. Die Exploit‑Kette ermöglicht Angreifern das Installieren von Spyware, die nach populären Wallet‑Apps wie MetaMask, Trust Wallet, Phantom, Exodus und Coinbase sucht, Schlüsselbund‑Einträge extrahiert und Remote‑Befehle ausführen kann. Forschende beobachteten, dass bösartige Werbung – teilweise in Instagram‑Feeds eingebettet – die Infektion automatisch auslösen kann, sobald ein verwundbares Gerät den Anzeigencode rendert.

Auswirkungen und gemeldete Verluste

Der Threat‑Researcher Officer’s Notes schätzte zuvor, dass bereits rund 5,57 Millionen USD an Krypto durch DarkSword gestohlen wurden, wobei mehr als 18 kompromittierte Websites den Code verbreiteten. Das Exploit‑Kit wird für etwa 30 000 USD zum Verkauf angeboten; der Verkäufer gibt an, Unterstützung für iOS 18.6.2 und Platzhalter für zukünftige Firmware‑Versionen zu bieten, was auf eine fortlaufende Weiterentwicklung hindeutet.

Von CZ und CertiK empfohlene Gegenmaßnahmen

CZ betonte, dass Wallet‑Apps das Betriebssystem eines Telefons nicht aktualisieren können, und sagte: „Self‑custody bedeutet Selbstverantwortung.“ Er forderte alle iPhone‑Besitzer, insbesondere jene, die seit Monaten nicht aktualisiert haben, das neueste iOS‑Release über Einstellungen → Allgemein → Software‑Update zu installieren. CertiK wiederholte diesen Rat und fügte konkrete Schritte hinzu: Alle exponierten Gelder in eine neue Wallet mit frischer Wiederherstellungsphrase verschieben, Seed‑Phrasen nicht in Fotos, Notizen oder Screenshots speichern, für größere Bestände Hardware‑Wallets in Betracht ziehen und nach Möglichkeit Apples Lockdown‑Modus aktivieren. Bei Verdacht auf Kompromittierung empfiehlt CertiK, das Telefon zurückzusetzen, Apps neu zu installieren und die alte Seed‑Phrase niemals wiederzuverwenden.

Was als Nächstes zu beobachten ist

Analysten werden verfolgen, ob Apple über iOS 26.3 hinaus weitere Patches veröffentlicht und wie schnell Nutzer diese übernehmen. Die Persistenz der Code‑Wiederverwendung von DarkSword, insbesondere gegen imToken und andere Nischen‑Wallets, lässt vermuten, dass Bedrohungsakteure das Kit weiter für neuere iOS‑Versionen verfeinern werden. Folgeberichte von Google, iVerify und anderen Sicherheitsfirmen werden voraussichtlich das Ausmaß laufender Kampagnen und mögliche Verbindungen zu staatlich gesponserten Akteuren klären.