Binance共同創業者のChangpeng Zhao（CZ）とブロックチェーンセキュリティ企業CertiKは、11月6日に協調警告を発し、iPhoneユーザーに最新のiOSアップデートを適用するよう呼びかけました。両者は、Safariで悪意あるウェブサイトを読み込むだけで、ウォレットアプリを開かず、取引に署名しなくても暗号ウォレットファイルやリカバリーフレーズ、その他機密データを収集できるDarkSword攻撃キットを指摘しています。

DarkSwordのiOSでの動作原理

CertiKによると、最新のP7バリアントのDarkSwordは、GoogleのThreat Intelligence Groupが文書化したiOS 18.4〜18.7向けの6つの脆弱性を組み合わせています。この攻撃チェーンにより、攻撃者はスパイウェアをインストールし、MetaMask、Trust Wallet、Phantom、Exodus、Coinbaseといった人気ウォレットアプリをスキャンしてキー情報を抽出し、リモートコマンドを実行できます。研究者は、Instagramフィードに埋め込まれた悪意ある広告が、脆弱なデバイスが広告コンテンツを表示した瞬間に自動的に感染を引き起こすことを確認しています。

影響と報告された損失

脅威研究者Officer’s Notesは、DarkSwordによってすでに約557万ドル相当の暗号資産が盗まれ、18以上のウェブサイトがコードを配布していると推定しています。この攻撃キットは約3万ドルで販売されており、販売者はiOS 18.6.2への対応と将来のファームウェアバージョン用のプレースホルダーを示していることから、継続的な開発が行われていることがうかがえます。

CZとCertiKが推奨する緩和策

CZは、ウォレットアプリが端末のOSを更新できないことを強調し、「セルフカストディはセルフリスポンシビリティ」と述べました。彼は、特に数か月間アップデートしていないiPhone所有者に対し、設定 → 一般 → ソフトウェア・アップデートから最新iOSをインストールするよう促しました。CertiKも同様の助言を行い、具体的な対策として、露出した資金を新しいリカバリーフレーズを持つウォレットへ移すこと、シードフレーズを写真、メモ、スクリーンショットに保存しないこと、大口残高にはハードウェアウォレットの使用を検討すること、可能ならAppleのロックダウンモードを有効にすることを推奨しています。侵害が疑われる端末については、CertiKは電話のリセット、アプリの再インストール、古いシードフレーズの再利用禁止を勧めています。

今後の注目点

アナリストは、AppleがiOS 26.3以降に追加パッチを提供するか、ユーザーがそれらをどれだけ速やかに適用するかを注視します。DarkSwordのコード再利用が継続し、特にimTokenなどのニッチウォレットを標的にしていることから、脅威アクターが新しいiOSリリース向けにキットを改良し続ける可能性があります。Google、iVerify、その他のセキュリティ企業からのフォローアップ報告が、継続中のキャンペーン規模や国家支援型アクターとの関連性を明らかにすることが期待されます。