Das Sicherheitsunternehmen CertiK hat davor gewarnt, dass ein iPhone-Exploit mit der Bezeichnung DarkSword Kryptowallet-Daten abgreifen kann, ohne dass Nutzer eine Transaktion freigeben müssen. In einer am 6. November auf X veröffentlichten Warnung teilte CertiK mit, dass der Exploit mehrere verbreitete Krypto-Anwendungen ins Visier nehmen kann — darunter MetaMask, Trust Wallet, Phantom, Exodus und Coinbase — und zudem Passwörter und Wiederherstellungsphrasen sammeln kann, die an anderer Stelle auf einem infizierten Gerät gespeichert sind. Wiederherstellungsphrasen sind die Wortfolgen, die den vollständigen Zugriff auf eine Self-Custody-Wallet wiederherstellen.

Die Warnung beschreibt ein Risiko, das sich vom Muster üblicher Wallet-Drainer-Angriffe unterscheidet, die in der Regel darauf beruhen, dass Opfer bösartige Transaktionen signieren oder Zugang zu ihren Wallets gewähren. DarkSword soll laut Berichten Schwachstellen im iPhone-Betriebssystem selbst ausnutzen, wodurch Angreifer möglicherweise direkt von einem kompromittierten Gerät auf sensible Informationen zugreifen können. Für Self-Custody-Nutzer ist dieser Unterschied wichtig, weil die Standard-Sicherungsmaßnahme — die Prüfung und Freigabe jeder Transaktion innerhalb der Wallet-App — keinen Kontrollpunkt bietet, wenn Daten direkt aus dem Betriebssystem entnommen werden.

DarkSword nutzt sechs iOS-Schwachstellen aus

Die Angriffskette wurde von Googles Threat-Intelligence-Gruppe in einem am 18. März veröffentlichten Bericht dokumentiert. Die Forscher beschrieben sechs Schwachstellen, die die iOS-Versionen 18.4 bis 18.7 betreffen und kombiniert werden konnten, um verwundbare Geräte zu kompromittieren.

Nach erfolgreichem Ausnutzen identifizierte Google drei Malware-Familien, die eingesetzt wurden: GHOSTBLADE, GHOSTKNIFE und GHOSTSABER. Zu ihren Fähigkeiten gehören das Sammeln von Kryptowallet-Informationen, Keychain-Daten des Geräts, Notizen-Datenbanken, Browserverläufen und persönlichen Medien. Die Keychain ist Apples integrierter Speicher für gespeicherte Passwörter und andere Zugangsdaten.

Google beobachtete auch Kampagnen gegen Nutzer in Saudi-Arabien, der Türkei, Malaysia und der Ukraine, wobei die Aktivitäten mindestens bis November 2025 zurückreichen.

Apple behob die Schwachstellen durch Sicherheitsupdates; der vollständige Satz an Korrekturen war mit der Veröffentlichung von iOS 26.3 verfügbar. Da die meisten Patches bereits früher ausgeliefert worden waren, erweisen sich veraltete Betriebssysteme als zentraler Faktor für die berichtete Gefährdung.

Neue DarkSword-Varianten weiten die Bedrohung aus

Das Exploit-Kit hat sich weiterentwickelt. das Mobile-Sicherheitsunternehmen iVerify veröffentlichte in einem Bericht vom 8. Oktober eine P7-Variante von DarkSword, nachdem es eine Infektion untersucht hatte, die im August auf dem Gerät eines Kunden entdeckt worden war.

Laut iVerify kontaktiert der Implantat standardmäßig alle 15 Sekunden seinen Befehlsserver. Er verarbeitet Keychain-Informationen auch lokal, bevor er Daten an seine Betreiber sendet, und enthält einen eigenen Befehl, um installierte Wallet-Anwendungen zu identifizieren und Informationen aus imToken zu extrahieren.

Auch die Verbreitung wurde untersucht. Eine separate Untersuchung, die am 21. Oktober von iVerify und Report URI veröffentlicht wurde, verfolgte die Verbreitung von DarkSword über bösartige Werbung zurück. Eine Kampagne nutzte Berichten zufolge eine Instagram-Werbung mit Weltmeisterschafts-Thema, die das Gerät eines Mitarbeiters infizierte, während die Person einfach durch die Plattform scrollte.

Die Forscher identifizierten außerdem eine Kampagne namens DeadTag, die auf Hunderten erneut registrierten Analytics-Domains basierte. Das mit diesen Domains verbundene Netzwerk erhielt Schätzungen zufolge etwa 135 Millionen Besuche pro Monat. Eine weitere Verbreitungsmethode war eine gefälschte Polymarket-Webseite, über die zwei DarkSword-Varianten ausgeliefert wurden — verwundbare Geräte konnten sich Berichten zufolge automatisch infizieren, während die Seite lud.

CertiK empfahl, Hardware-Wallets zum Schutz größerer Kryptobestände zu verwenden, und schlug für Personen mit erhöhten Sicherheitsrisiken Apples Sperrmodus vor. Hardware-Wallets speichern private Schlüssel auf einem separaten physischen Gerät statt auf einem internetverbundenen Telefon, während der Sperrmodus eine optionale Apple-Einstellung ist, die 2022 eingeführt wurde und die Funktionen eines Geräts für Nutzer einschränkt, die als Ziel gezielter Bedrohungen gelten.

CZ fordert iPhone-Nutzer nach gemeldetem Verlust von 5,57 Millionen Dollar zu Updates auf

Binance-Mitgründer Changpeng Zhao schloss sich den Warnungen an und rief iPhone-Nutzer auf, ihre Betriebssysteme sofort zu aktualisieren. In einem Beitrag auf X am Freitag betonte er, dass Wallet-Anwendungen Schwachstellen des darunterliegenden Betriebssystems nicht beheben können und dass Nutzer, die ihre eigenen privaten Schlüssel verwalten, weiterhin für die Sicherheit ihrer Geräte verantwortlich sind.

Seine Warnung folgte auf Schätzungen des Sicherheitsforschers Officer's Notes, wonach bereits etwa 5,57 Millionen US-Dollar in digitalen Vermögenswerten durch die Schwachstelle gestohlen worden seien. Die gemeldeten Verluste wurden mit mehr als 18 Webseiten in Verbindung gebracht, die bösartigen Code enthielten.

Officer's Notes berichtete außerdem, dass das Exploit-Kit online für rund 30.000 US-Dollar verkauft wurde. Eine Version enthielt Berichten zufolge ein Modul, das speziell auf die imToken-Wallet abzielte.

Laut dem Forscher war iOS 18.6.2 die letzte Version, die vom DarkSword-Exploit unterstützt wurde — ein Detail, das den Blick auf Geräte lenkt, die trotz Apples Sicherheitskorrekturen nicht aktualisiert wurden. Verweise auf iOS 26 und iOS 27 im Code des Kits deuten darauf hin, dass seine Entwickler möglicherweise die Ausnutzung neuerer Betriebssystemversionen vorbereiten; diese Verweise belegen jedoch nicht für sich genommen, dass funktionierende Exploits für diese Versionen bereits verfügbar sind.

Forscher empfehlen Software-Updates und sicherere Wallet-Praktiken

DarkSword ist nicht das einzige gemeldete iOS-Sicherheitsproblem, das Kryptonautz betrifft. Im September behob Apple eine Schwachstelle in seiner CoreGraphics-Grafik-Engine, die das Unternehmen einräumte, möglicherweise in gezielten, anspruchsvollen Angriffen gegen bestimmte Einzelpersonen ausgenutzt worden zu sein. Unabhängig davon hatten Sicherheitsforscher von SlowMist und OKX zuvor bösartigen Code in der Anwendung FomoPeek identifiziert, der auf iOS auf Informationen außerhalb der normalen Berechtigungen der App zugreifen konnte. Zusammengenommen lenken die Vorfälle die Aufmerksamkeit auf die Geräteschicht unterhalb der Wallet-Anwendungen — dieselbe Schicht, die CZ in seiner Warnung hervorhob.

Zu den Sicherheitsempfehlungen der Forscher gehören die Installation der neuesten verfügbaren iOS-Updates über Einstellungen, Allgemein und Softwareupdate sowie das Vermeiden der Speicherung von Wiederherstellungsphrasen in Notizen, Fotos oder Screenshots, wo Schadsoftware auf einem kompromittierten Gerät möglicherweise darauf zugreifen kann. Über Telegram-Gruppen und Direktnachrichten geteilte Links sollten mit Vorsicht behandelt werden, insbesondere wenn sie zu unbekannten Webseiten führen — die gemeldete gefälschte Polymarket-Seite zeigt, wie allein das Laden einer bösartigen Webseite ein nicht gepatchtes Gerät gefährden kann.

Für Nutzer, die glauben, dass ihre Telefone bereits kompromittiert sind, lautet die im Quellmaterial beschriebene Empfehlung, eine neue Wallet auf einem aktualisierten Gerät zu erstellen und verbleibende Mittel zu übertragen. Die alte Wiederherstellungsphrase sollte nicht wiederverwendet werden.

Die DarkSword-Berichte unterstreichen die Sicherheitsrisiken der Aufbewahrung von Wallet-Zugangsdaten auf internetverbundenen Smartphones. Die Aktualisierung des Betriebssystems, der Schutz von Wiederherstellungsphrasen und die Nutzung hardwarebasierter Speicherung für größere Bestände können die Anfälligkeit für Angriffe verringern, die auf das Gerät selbst abzielen und nicht auf den Transaktionsprozess einer Wallet-Anwendung. Künftig gilt es, weitere Hinweise von CertiK, iVerify und Google zu beobachten — und ob die Verweise des Kits auf neuere iOS-Versionen jemals als funktionierende Exploits bestätigt werden.

Quelle: en.coinotag