바이낸스 공동창업자 장펑자오(CZ)와 블록체인 보안 기업 CertiK는 11월 6일 iPhone 사용자를 대상으로 최신 iOS 업데이트 적용을 촉구하는 공동 경고를 발표했습니다. 두 경고 모두 다크소드 익스플로잇 키트를 언급하며, 이 키트는 Safari에서 악성 웹사이트를 로드하기만 하면 가상자산 지갑 파일, 복구 구문 및 기타 민감 정보를 수집할 수 있다고 밝혔습니다.

다크소드가 iOS에서 작동하는 방식

CertiK에 따르면, 최신 P7 변종 다크소드는 Google 위협 인텔리전스 그룹이 문서화한 iOS 18.4~18.7 버전의 6가지 취약점을 연결해 공격 체인을 구성합니다. 이 체인을 통해 공격자는 MetaMask, Trust Wallet, Phantom, Exodus, Coinbase 등 인기 지갑 앱을 스캔하고 키체인 항목을 추출하며 원격 명령을 실행할 수 있는 스파이웨어를 설치합니다. 연구진은 악성 광고가 Instagram 피드에 삽입돼 취약 기기가 광고 콘텐츠를 렌더링할 때 자동으로 감염될 수 있음을 관찰했습니다.

영향 및 보고된 손실

위협 연구원 Officer’s Notes는 다크소드로 이미 약 557만 달러 규모의 가상자산이 탈취됐으며, 18개 이상의 침해된 웹사이트가 코드를 배포하고 있다고 추정했습니다. 이 익스플로잇 키트는 약 3만 달러에 판매되고 있으며, 판매자는 iOS 18.6.2 지원 및 향후 펌웨어 버전용 플레이스홀더를 제공해 지속적인 개발이 이루어지고 있음을 시사했습니다.

CZ와 CertiK가 권고하는 완화 조치

CZ는 지갑 앱이 휴대폰 운영체제를 업데이트할 수 없으며 “자기 보관은 자기 책임”이라고 강조했습니다. 그는 모든 iPhone 사용자, 특히 몇 달째 업데이트하지 않은 사용자는 설정 → 일반 → 소프트웨어 업데이트를 통해 최신 iOS를 설치할 것을 촉구했습니다. CertiK도 동일한 조언에 더해, 노출된 자금을 새 지갑과 새로운 복구 구문으로 이동하고, 복구 구문을 사진, 메모 또는 스크린샷에 저장하지 말며, 대량 잔액은 하드웨어 지갑을 고려하고, 가능한 경우 Apple의 Lockdown Mode를 활성화할 것을 권고했습니다. 침해가 의심되는 기기는 초기화 후 앱을 재설치하고 이전 복구 구문을 재사용하지 말 것을 권장했습니다.

다음에 주목할 사항

분석가들은 Apple이 iOS 26.3 외 추가 패치를 발표하는지와 사용자가 이를 얼마나 빠르게 적용하는지를 주시할 것입니다. 특히 imToken 등 니치 지갑을 겨냥한 다크소드 코드 재사용이 지속될 경우, 위협 행위자는 최신 iOS 버전을 겨냥해 키트를 계속 개선할 가능성이 있습니다. Google, iVerify 등 보안 업체의 후속 보고서를 통해 캠페인 규모와 국가 지원 가능성 여부가 밝혀질 전망입니다.