Absicherung einer iPhone-Krypto-Wallet gegen Malware und webbasierte Exploit-Ketten

iPhone-Nutzer mit veralteten iOS-Versionen können Sicherheitsrisiken ausgesetzt sein, nachdem Forscher manipulierte Website-Pakete mit einer iOS-Exploit-Kette in Verbindung brachten, die auf geschützte Telefondaten und Wallet-Geheimnisse zugreifen kann.

Socket, eine Cybersecurity-Plattform, machte die Kampagne öffentlich, nachdem 13 bösartige Themes auf Packagist, dem öffentlichen Repository für PHP-Pakete, entdeckt worden waren. Die Pakete infizierten Websites statt Telefone, wodurch es sich um einen Supply-Chain-Angriff handelte: Website-Betreiber, die den Themes vertrauten, lieferten unwissentlich bösartigen Code an ihre Besucher aus. Daher reichte es nicht aus, gefälschte Wallet-Apps zu meiden, um ein verwundbares iPhone vor einer kompromittierten Safari-Seite zu schützen, da der Angriff über das gewöhnliche Surfen im Web einging.

Was sollen die bösartigen Packagist-Pakete bewirken?

Die Pakete gaben sich als Themes für OphimCMS und KKPhim aus, die vietnamesische Streaming-Seiten unterstützen. Sie erschienen unter fünf Publishern: vsmov, vsphim, haiau009, chilltvcms und ophimcms.

Nachdem ein Website-Betreiber ein manipuliertes Theme installiert hatte, erschien bösartiges JavaScript auf dessen Seiten. Mobile Besucher konnten auf Glücksspiel-Weiterleitungen oder eingeschleuste Werbung treffen. Der iPhone-Zweig prüfte außerdem die iOS-Version und lud einen passenden Exploit.

Sockets Untersuchung ergab zwei WebKit-Einstiegspunkte. CVE-2025-31277 zielte auf iOS 18.4 und 18.5, während CVE-2025-43529 iOS 18.6 betraf. WebKit ist die Browser-Engine, die Safari und andere iOS-Browser-Apps verwenden müssen; Schwachstellen darin können daher jedes iPhone betreffen, das eine kompromittierte Seite lädt.

Spätere Stufen entkamen dem geschützten Prozess von WebKit und gelangten in den iOS-Kernel. Der Kernel bildet den Kern des Betriebssystems, sodass dieser Zugriff es dem Payload ermöglichte, Daten zu lesen, die für eine Website normalerweise gesperrt sind.

Forscher fanden Code für iPhone-Modelle von iPhone XS bis iPhone 16 mit iOS 18.4 bis 18.6.x. Die analysierte Version unterstützte weder iOS 18.7 noch iOS 26.

Die Spyware konnte Keychain-Einträge, Nachrichten, Kontakte, Fotos, Browser-Cookies, WLAN-Passwörter, Standortverläufe und Kontodatenbanken sammeln. Die Keychain ist Apples verschlüsselter Speicher für Passwörter und andere Geheimnisse auf dem Gerät. Ein Update im August suchte zusätzlich nach Wallet-Material im Zusammenhang mit Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX.

Warum nennen neuere Berichte andere Krypto-Wallets?

Ein neuerer SlowMist-Bericht untersuchte eine separate WYINCC-Infrastruktur. Dessen Sample zielte auf Safari unter iOS 18.4 bis 18.6.2, und der Code konzentrierte sich auf imToken, TokenPocket und TronLink.

Dieser Payload konnte App-Dateien durchsuchen, entschlüsselte Keychain-Einträge lesen und Tastatureingaben überwachen, während eine anvisierte Wallet geöffnet war. SlowMist hat die Funktionen wiederhergestellt, aber nicht auf dem Telefon eines Opfers ausgeführt.

Daher sollten die beiden Wallet-Listen getrennt betrachtet werden. Socket untersuchte bösartige Packagist-Themes, während SlowMist ein anderes Verbreitungssystem analysierte. Beide wiesen Verbindungen zur Exploit-Familie DarkSword auf, was darauf hindeutet, dass die Angreifer Exploit-Werkzeuge über verschiedene Verbreitungskanäle hinweg wiederverwenden.

Googles Threat Intelligence Group verfolgt DarkSword seit November 2025. Google fand mehrere Varianten mit Unterstützung für iOS 18.4 bis 18.7, was auf eine fortlaufende Entwicklung nach den von Socket analysierten Versionen hindeutet. Apple hat Patches veröffentlicht, die die Exploit-Kette in späteren iOS-Versionen schließen.

Wie können Nutzer Wallet-stehlende Malware stoppen?

Die Installation des neuesten iOS-Updates schließt den bekannten Weg. Stand dem 4. September 2026 führt Apple iOS 26.6.1 als aktuelle Version. Für iPhone XS, XS Max und XR wird zudem iOS 18.7.10 angeboten.

Nutzer können „Einstellungen“ öffnen, „Allgemein“ auswählen und auf „Softwareupdate“ tipfen. Sie sollten die neueste für ihr Gerät angebotene Version installieren. Automatische Downloads und Installationen sollten ebenfalls aktiviert sein.

Nutzer mit iOS 26.1 oder neuer können unter „Einstellungen“ und „Datenschutz & Sicherheit“ die Option „Sicherheitsverbesserungen im Hintergrund“ aktivieren. Diese liefert zwischen vollständigen Updates einige WebKit- und Systemschutzmaßnahmen.

Patches bilden die Hauptverteidigung, während umsichtiges Surfen das Risiko weiter senkt. Nutzer sollten Seiten verlassen, die Glücksspielseiten oder wiederholte Weiterleitungen auslösen. Google hat bekannte DarkSword-Domains zu Safe Browsing hinzugefügt, doch Angreifer können ihre Infrastruktur wechseln, sodass Browser-Warnungen allein kein vollständiger Schutz sind.

Recovery-Phrasen benötigen separaten Schutz. Sie sollten nicht in Fotos, Notizen, E-Mails, Chats oder ungeschützten Cloud-Dateien gespeichert werden. Forscher stellten fest, dass die Malware mehrere dieser Datenquellen auslesen konnte.

Ein Offline-Backup begrenzt diese Angriffsfläche. Große Inhaber können außerdem eine Hardware-Wallet verwenden, ohne deren Seed-Phrase in das iPhone zu importieren, und so die Schlüssel auf einem vom Telefon-Malware isolierten Gerät halten. Jede Adresse und Transaktion sollte dennoch auf dem Hardware-Gerät geprüft werden.

Was sollten Nutzer nach möglicher Exposition tun?

Nutzer sollten zunächst prüfen, welche iOS-Version aktiv war, als die Seite geöffnet wurde. Eine verdächtige Weiterleitung allein bestätigt keine Infektion. SlowMist warnte auch davor, eine Seed-Phrase allein anhand von Zugriffsprotokollen als gestohlen zu erklären.

Das iPhone sollte dennoch sofort aktualisiert werden. Falls unbefugte Transfers auftreten oder eine Sicherheitsprüfung eine Exposition bestätigt, sollte der Besitzer auf einem sauberen Gerät eine neue Krypto-Wallet erstellen. deren Recovery-Phrase muss neu sein.

Der Besitzer kann verbleibende Vermögenswerte nach Prüfung von Netzwerk und Zieladresse anschließend auf die neuen Adressen übertragen. Das Importieren der alten Recovery-Phrase in eine andere App würde das Risiko bewahren.

Nutzer sollten unbekannte Wallet-Verbindungen widerrufen und aktive Sitzungen überprüfen. Apple-ID-, E-Mail-, Börsen- und Finanzpasswörter müssen möglicherweise von einem vertrauenswürdigen Gerät aus ersetzt werden, falls ein breiterer Datendiebstahl vermutet wird. Apple rät Nutzern außerdem, nicht erkannte Geräte aus ihren Konten zu entfernen.

Vor dem Löschen eines hochwertigen Geräts kann der Besitzer professionelle Mobile-Forensik benötigen, da ein Reset Beweise zerstören kann. SlowMist empfiehlt, forensische Daten von exponierten Geräten zu sichern. Transaktions-Hashes, Wallet-Adressen, Daten, Screenshots und Warnungen sollten ebenfalls gespeichert werden.

Opfer müssen jedem misstrauen, der gegen Vorkasse eine Wiederherstellung verspricht – ein häufiger Folgebetrug, der Personen ins Visier nimmt, die ihre Verluste öffentlich machen. Seriöser Wallet-Support würde niemals eine Seed-Phrase oder einen privaten Schlüssel anfordern. Aktuelle Software, offline gelagerte Seeds und schnelles Handeln bleiben die stärksten Verteidigungen gegen Wallet-stehlende Malware.