Сооснователь Binance Чанпен Чжао (CZ) и компания по безопасности блокчейна CertiK 6 ноября выпустили согласованные предупреждения, призывая пользователей iPhone применить последние обновления iOS. Оба предупреждения ссылаются на набор эксплойтов DarkSword, который может собирать файлы криптокошельков, фразы восстановления и другие конфиденциальные данные, просто загружая вредоносный сайт в Safari, даже если приложение кошелька не открыто и транзакция не подписана.

Как работает DarkSword на iOS

По данным CertiK, новейший вариант P7 DarkSword объединяет шесть уязвимостей iOS, задокументированных Группой разведки о угрозах Google для версий с 18.4 по 18.7. Цепочка эксплойта позволяет злоумышленникам устанавливать шпионское ПО, которое сканирует популярные приложения кошельков, такие как MetaMask, Trust Wallet, Phantom, Exodus и Coinbase, извлекает записи из цепочки ключей и может выполнять удалённые команды. Исследователи наблюдали, что вредоносная реклама — иногда встроенная в ленты Instagram — может автоматически вызывать заражение, если уязвимое устройство рендерит контент рекламы.

Влияние и зафиксированные убытки

Исследователь угроз Officer’s Notes ранее оценил, что через DarkSword уже было украдено примерно 5,57 миллиона долларов в криптовалюте, при этом более 18 скомпрометированных сайтов распространяли код. Набор эксплойтов предлагался для продажи примерно за 30 000 долларов, при этом продавец указывал на поддержку iOS 18.6.2 и наличие заглушек для будущих версий прошивки, что указывает на продолжающуюся разработку.

Меры по смягчению последствий, рекомендованные CZ и CertiK

CZ подчеркнул, что приложения кошельков не могут обновлять операционную систему телефона, заявив: «Самохранение означает самоответственность». Он призвал всех владельцев iPhone, особенно тех, кто не обновлял систему месяцами, установить последнюю версию iOS через Настройки → Основные → Обновление ПО. CertiK поддержала этот совет и добавила конкретные действия: перевести любые подвергшиеся риску средства в новый кошелёк с новой фразой восстановления, не хранить сид-фразы в Фото, Заметках или скриншотах, рассмотреть возможность использования аппаратных кошельков для крупных балансов и включить Режим изоляции Apple, где это возможно. Для устройств, в отношении которых подозревают компрометацию, CertiK рекомендует сбросить телефон, переустановить приложения и никогда не использовать старую сид-фразу повторно.

Что наблюдать дальше

Аналитики будут отслеживать, выпустит ли Apple дополнительные патчи помимо iOS 26.3 и как быстро пользователи будут их устанавливать. Сохранение практики повторного использования кода DarkSword, особенно при нацеливании на imToken и другие нишевые кошельки, указывает на то, что злоумышленники могут продолжать дорабатывать набор для новых выпусков iOS. Ожидаются последующие отчёты от Google, iVerify и других компаний по безопасности, которые прояснят масштаб продолжающихся кампаний и возможные связи с государственными акторами.