Pendiri bersama Binance Changpeng Zhao (CZ) dan firma keamanan blockchain CertiK mengeluarkan peringatan terkoordinasi pada 6 November yang mendesak pengguna iPhone memasang pembaruan iOS terbaru. Kedua peringatan itu menyebut kit eksploit DarkSword, yang dapat memanen file dompet mata uang kripto, frasa pemulihan, dan data sensitif lainnya hanya dengan memuat situs web berbahaya di Safari, bahkan saat tidak ada aplikasi dompet yang dibuka atau transaksi yang ditandatangani.

Cara Kerja DarkSword di iOS

Menurut CertiK, varian P7 terbaru dari DarkSword merangkai enam kerentanan iOS yang didokumentasikan oleh Threat Intelligence Group Google untuk versi 18.4 hingga 18.7. Rantai eksploit ini memungkinkan penyerang memasang spyware yang memindai aplikasi dompet populer seperti MetaMask, Trust Wallet, Phantom, Exodus, dan Coinbase, mengekstrak entri keychain, serta dapat menjalankan perintah jarak jauh. Peneliti mengamati bahwa iklan berbahaya—kadang tersemat di feed Instagram—dapat memicu infeksi secara otomatis saat perangkat yang rentan merender konten iklan tersebut.

Dampak dan Kerugian yang Dilaporkan

Peneliti ancaman Officer’s Notes sebelumnya memperkirakan bahwa sekitar $5,57 juta dalam bentuk kripto telah dicuri melalui DarkSword, dengan lebih dari 18 situs web yang dikompromikan mendistribusikan kode tersebut. Kit eksploit ini telah terdaftar untuk dijual sekitar $30.000, dengan penjual mencatat dukungan untuk iOS 18.6.2 dan placeholder untuk versi firmware mendatang, yang menunjukkan pengembangan yang masih berlangsung.

Langkah Mitigasi yang Direkomendasikan CZ dan CertiK

CZ menekankan bahwa aplikasi dompet tidak dapat memperbarui sistem operasi ponsel, dengan menyatakan, “Self-custody berarti tanggung jawab sendiri.” Ia mendesak semua pemilik iPhone, terutama yang belum memperbarui selama berbulan-bulan, untuk memasang rilis iOS terbaru melalui Pengaturan → Umum → Pembaruan Perangkat Lunak. CertiK menggemakan saran ini dan menambahkan tindakan spesifik: pindahkan dana yang terekspos ke dompet baru dengan frasa pemulihan yang baru, jauhkan frasa seed dari Photos, Notes, atau tangkapan layar, pertimbangkan dompet perangkat keras untuk saldo besar, dan aktifkan Mode Lockdown Apple jika memungkinkan. Untuk perangkat yang diduga dikompromikan, CertiK merekomendasikan mengatur ulang ponsel, memasang ulang aplikasi, dan tidak pernah menggunakan kembali frasa seed lama.

Yang Perlu Dicermati Selanjutnya

Analis akan memantau apakah Apple merilis patch tambahan di luar iOS 26.3 dan seberapa cepat pengguna mengadopsinya. Kegigihan penggunaan ulang kode DarkSword, terutama menyasar imToken dan dompet niche lainnya, menunjukkan bahwa aktor ancaman mungkin terus menyempurnakan kit untuk rilis iOS yang lebih baru. Laporan lanjutan dari Google, iVerify, dan firma keamanan lain diperkirakan akan memperjelas skala kampanye yang sedang berlangsung dan kemungkinan kaitannya dengan aktor yang disponsori negara.