El cofundador de Binance, Changpeng Zhao (CZ), y la firma de seguridad blockchain CertiK emitieron advertencias coordinadas el 6 de noviembre instando a los usuarios de iPhone a aplicar las últimas actualizaciones de iOS. Ambas alertas citan el kit de exploits DarkSword, que puede recopilar archivos de billeteras de criptomonedas, frases de recuperación y otros datos sensibles simplemente cargando un sitio web malicioso en Safari, incluso cuando no se abre ninguna aplicación de billetera ni se firma una transacción.

Cómo funciona DarkSword en iOS

Según CertiK, la última variante P7 de DarkSword encadena seis vulnerabilidades de iOS documentadas por el Threat Intelligence Group de Google para las versiones 18.4 a 18.7. La cadena de exploits permite a los atacantes instalar spyware que escanea aplicaciones de billeteras populares como MetaMask, Trust Wallet, Phantom, Exodus y Coinbase, extrae entradas de la cadena de claves (keychain) y puede ejecutar comandos remotos. Los investigadores observaron que los anuncios maliciosos, a veces incrustados en los flujos de Instagram, pueden desencadenar la infección automáticamente cuando un dispositivo vulnerable renderiza el contenido del anuncio.

Impacto y pérdidas reportadas

El investigador de amenazas Officer’s Notes estimó previamente que aproximadamente 5,57 millones de dólares en criptomonedas ya habían sido robados a través de DarkSword, con más de 18 sitios web comprometidos distribuyendo el código. El kit de exploits se ha puesto a la venta por alrededor de 30.000 dólares, con el vendedor indicando soporte para iOS 18.6.2 y espacios reservados para futuras versiones de firmware, lo que sugiere un desarrollo continuo.

Pasos de mitigación recomendados por CZ y CertiK

CZ enfatizó que las aplicaciones de billetera no pueden actualizar el sistema operativo de un teléfono, declarando: “La auto-custodia significa auto-responsabilidad”. Instó a todos los propietarios de iPhone, especialmente a aquellos que no han actualizado en meses, a instalar la última versión de iOS a través de Ajustes → General → Actualización de software. CertiK respaldó este consejo y añadió acciones específicas: mover cualquier fondo expuesto a una billetera nueva con una frase de recuperación fresca, mantener las frases semilla fuera de Fotos, Notas o capturas de pantalla, considerar billeteras de hardware para saldos grandes y habilitar el Modo Bloqueo (Lockdown Mode) de Apple cuando sea posible. Para los dispositivos sospechosos de estar comprometidos, CertiK recomienda restablecer el teléfono, reinstalar las aplicaciones y no reutilizar nunca la antigua frase semilla.

Qué observar a continuación

Los analistas monitorearán si Apple libera parches adicionales más allá de iOS 26.3 y con qué rapidez los usuarios los adoptan. La persistencia de la reutilización de código de DarkSword, especialmente al apuntar a imToken y otras billeteras de nicho, sugiere que los actores de amenazas pueden continuar refinando el kit para nuevas versiones de iOS. Se esperan informes de seguimiento de Google, iVerify y otras firmas de seguridad para aclarar la escala de las campañas en curso y cualquier vínculo con actores patrocinados por estados.