Співзасновник Binance Чанпэн Чжао (CZ) та компанія з блокчейн‑безпеки CertiK 6 листопада випустили координовані попередження, закликаючи користувачів iPhone встановити останні оновлення iOS. Обидва повідомлення посилаються на експлойт‑набір DarkSword, який може збирати файли криптогаманців, фрази відновлення та інші конфіденційні дані лише шляхом завантаження шкідливого сайту в Safari, навіть коли жоден гаманець не відкрито і транзакція не підписана.

Як працює DarkSword на iOS

За даними CertiK, остання варіація P7 DarkSword поєднує шість вразливостей iOS, задокументованих групою Threat Intelligence Google для версій 18.4‑18.7. Ланцюжок експлойту дозволяє зловмисникам встановлювати шпигунське ПЗ, яке сканує популярні гаманці, такі як MetaMask, Trust Wallet, Phantom, Exodus і Coinbase, витягує записи keychain і може виконувати віддалені команди. Дослідники зафіксували, що шкідливі рекламні оголошення — іноді вбудовані у стрічку Instagram — можуть автоматично запускати інфекцію, коли вразливий пристрій відображає їхній контент.

Вплив та повідомлені збитки

Дослідник Officer’s Notes раніше оцінював, що через DarkSword вже було викрадено приблизно 5,57 млн доларів у криптовалюті, а понад 18 скомпрометованих веб‑сайтів розповсюджували код. Набір експлойту продається за близько 30 000 доларів, продавець зазначає підтримку iOS 18.6.2 і заповнювачі для майбутніх версій прошивки, що свідчить про подальший розвиток.

Кроки пом’якшення, рекомендовані CZ і CertiK

CZ підкреслив, що додатки гаманців не можуть оновлювати операційну систему телефону, зазначивши: «Самокастоді означає самовідповідальність». Він закликав усіх власників iPhone, особливо тих, хто не оновлював пристрій кілька місяців, встановити останню версію iOS через Налаштування → Загальні → Оновлення ПЗ. CertiK підтвердила цю пораду і додала конкретні дії: перенести будь‑які піддані ризику кошти у новий гаманець з новою фразою відновлення, тримати seed‑фрази подалі від Фото, Нотаток чи скріншотів, розглянути апаратні гаманці для великих балансів і за можливості ввімкнути режим Lockdown Apple. Для пристроїв, підозрюваних у компрометації, CertiK радить скинути телефон, перевстановити додатки і ніколи не використовувати стару seed‑фразу.

Що слід стежити далі

Аналітики будуть спостерігати, чи Apple випустить додаткові патчі поза iOS 26.3 і як швидко користувачі їх впровадять. Постійне повторне використання коду DarkSword, особливо проти imToken та інших нішевих гаманців, свідчить, що зловмисники можуть продовжувати удосконалювати набір для нових випусків iOS. Очікуються подальші звіти від Google, iVerify та інших компаній, які уточнять масштаб поточних кампаній і можливі зв’язки з державними акторами.

Джерела

  • crypto.news: