O cofundador da Binance, Changpeng Zhao (CZ), e a empresa de segurança em blockchain CertiK emitiram alertas coordenados em 6 de novembro, pedindo que usuários do iPhone apliquem as atualizações mais recentes do iOS. Ambos os avisos citam o kit de exploração DarkSword, que pode coletar arquivos de carteiras de criptomoedas, frases de recuperação e outros dados sensíveis apenas ao carregar um site malicioso no Safari, mesmo quando nenhum aplicativo de carteira está aberto ou nenhuma transação é assinada.

Como o DarkSword funciona no iOS

Segundo a CertiK, a variante mais recente P7 do DarkSword combina seis vulnerabilidades do iOS documentadas pelo Google Threat Intelligence Group para as versões 18.4 a 18.7. A cadeia de exploração permite que atacantes instalem spyware que varre aplicativos de carteira populares, como MetaMask, Trust Wallet, Phantom, Exodus e Coinbase, extrai entradas do keychain e pode executar comandos remotos. Pesquisadores observaram que anúncios maliciosos — às vezes embutidos em feeds do Instagram — podem disparar a infecção automaticamente quando um dispositivo vulnerável renderiza o conteúdo do anúncio.

Impacto e perdas relatadas

O pesquisador de ameaças Officer’s Notes estimou anteriormente que cerca de US$ 5,57 milhões em cripto já haviam sido roubados via DarkSword, com mais de 18 sites comprometidos distribuindo o código. O kit de exploração foi listado para venda por cerca de US$ 30.000, com o vendedor mencionando suporte para o iOS 18.6.2 e espaços reservados para futuras versões de firmware, sugerindo desenvolvimento contínuo.

Medidas de mitigação recomendadas por CZ e CertiK

CZ enfatizou que os aplicativos de carteira não podem atualizar o sistema operacional de um celular, afirmando: “Auto-custódia significa auto-responsabilidade”. Ele pediu a todos os donos de iPhone, especialmente aqueles que não atualizaram há meses, que instalem a versão mais recente do iOS via Ajustes → Geral → Atualização de Software. A CertiK ecoou esse conselho e adicionou ações específicas: mover quaisquer fundos expostos para uma nova carteira com uma frase de recuperação nova, manter as frases semente fora de Fotos, Notas ou capturas de tela, considerar carteiras de hardware para grandes saldos e ativar o Modo Bloqueio da Apple quando possível. Para dispositivos suspeitos de comprometimento, a CertiK recomenda reiniciar o celular, reinstalar os aplicativos e nunca reutilizar a antiga frase semente.

O que observar a seguir

Analistas monitorarão se a Apple lançará patches adicionais além do iOS 26.3 e a velocidade com que os usuários os adotarão. A persistência na reutilização do código do DarkSword, especialmente ao visar imToken e outras carteiras de nicho, sugere que atores de ameaça podem continuar a refinar o kit para novos lançamentos do iOS. Relatórios de acompanhamento do Google, iVerify e outras empresas de segurança são esperados para esclarecer a escala das campanhas em andamento e quaisquer vínculos com atores patrocinados por estados.