La firma de seguridad CertiK advirtió que un exploit para iPhone rastreado como DarkSword puede extraer datos de billeteras de criptomonedas sin requerir que los usuarios aprueben ninguna transacción. En una alerta publicada en X el 6 de noviembre, CertiK indicó que el exploit puede atacar varias aplicaciones cripto de uso generalizado —entre ellas MetaMask, Trust Wallet, Phantom, Exodus y Coinbase— y además puede recolectar contraseñas y frases de recuperación almacenadas en otros lugares del dispositivo infectado. Las frases de recuperación son las secuencias de palabras que restablecen el acceso completo a una billetera de autocustodia.

La alerta describe un riesgo que se aparta del patrón de los ataques convencionales de drenaje de billeteras, que generalmente dependen de que las víctimas firmen transacciones maliciosas o otorguen acceso a sus billeteras. Se señala que DarkSword va tras las debilidades del propio sistema operativo del iPhone, lo que potencialmente permite a los atacantes acceder directamente a información sensible desde un dispositivo comprometido. Para los usuarios de autocustodia, esa distinción es importante porque la salvaguarda estándar —revisar y aprobar cada transacción dentro de la aplicación de la billetera— no ofrece ningún punto de control cuando los datos se extraen directamente del sistema operativo.

DarkSword explota seis vulnerabilidades de iOS

La cadena de ataque fue documentada por el Grupo de Inteligencia de Amenazas de Google en un informe publicado el 18 de marzo. Los investigadores describieron seis vulnerabilidades que afectan a las versiones 18.4 a 18.7 de iOS y que podían combinarse para comprometer dispositivos vulnerables.

Tras la explotación exitosa, Google identificó tres familias de malware desplegadas: GHOSTBLADE, GHOSTKNIFE y GHOSTSABER. Sus capacidades incluyen la recolección de información de billeteras de criptomonedas, datos del llavero del dispositivo, bases de datos de Notas, registros del navegador y medios personales. El llavero es el almacenamiento integrado de Apple para contraseñas guardadas y otras credenciales.

Google también observó campañas dirigidas a usuarios en Arabia Saudita, Turquía, Malasia y Ucrania, con actividad que se remonta al menos a noviembre de 2025.

Apple abordó las vulnerabilidades mediante actualizaciones de seguridad, con el conjunto completo de correcciones disponible desde el lanzamiento de iOS 26.3. Dado que la mayoría de los parches se habían entregado antes, los sistemas operativos desactualizados destacan como un factor central en la exposición reportada.

Nuevas variantes de DarkSword amplían la amenaza

El kit de exploits ha continuado evolucionando. La empresa de seguridad móvil iVerify reveló una variante P7 de DarkSword en un informe del 8 de octubre, tras investigar una infección descubierta en el dispositivo de un cliente en agosto.

Según iVerify, el implante contacta su servidor de comando cada 15 segundos por defecto. También procesa la información del llavero localmente antes de enviar los datos a sus operadores, e incluye un comando dedicado para identificar las aplicaciones de billeteras instaladas y extraer información de imToken.

La distribución también ha llamado la atención. Una investigación separada publicada el 21 de octubre por iVerify y Report URI rastreó la propagación de DarkSword a través de publicidad maliciosa. Una campaña, según se informó, se apoyó en un anuncio de Instagram con temática de la Copa del Mundo que infectó el dispositivo de un empleado mientras simplemente navegaba por la plataforma.

Los investigadores también identificaron una campaña llamada DeadTag, construida sobre cientos de dominios de analítica re-registrados. Se estimó que la red asociada con esos dominios recibía aproximadamente 135 millones de visitas al mes. Otro método de distribución involucró una página falsa de Polymarket que entregaba dos variantes de DarkSword —según se informó, los dispositivos vulnerables podían infectarse automáticamente al cargar la página.

CertiK recomendó usar billeteras físicas para proteger tenencias significativas de criptomonedas y sugirió el Modo de Bloqueo de Apple para las personas que enfrentan riesgos de seguridad elevados. Las billeteras físicas mantienen las claves privadas en un dispositivo físico dedicado en lugar de en un teléfono conectado a internet, mientras que el Modo de Bloqueo es una configuración opcional de Apple, introducida en 2022, que restringe las funciones del dispositivo para usuarios considerados objetivo de amenazas dirigidas.

CZ insta a los usuarios de iPhone a actualizar tras una pérdida reportada de 5,57 millones de dólares

El cofundador de Binance, Changpeng Zhao, también se sumó a la advertencia, instando a los usuarios de iPhone a actualizar sus sistemas operativos de inmediato. En una publicación en X el viernes, subrayó que las aplicaciones de billeteras no pueden corregir las vulnerabilidades del sistema operativo subyacente y que los usuarios que gestionan sus propias claves privadas siguen siendo responsables de proteger sus dispositivos.

Su advertencia siguió a las estimaciones del investigador de seguridad Officer's Notes, quien dijo que aproximadamente 5,57 millones de dólares en activos digitales ya habían sido robados a través de la vulnerabilidad. Las pérdidas reportadas se vincularon a más de 18 sitios web que alojaban código malicioso.

Officer's Notes también informó que el kit de exploits se vendía en línea por aproximadamente 30.000 dólares. Una versión, según se informó, incluía un módulo diseñado específicamente para atacar la billetera imToken.

Según el investigador, iOS 18.6.2 fue la última versión compatible con el exploit DarkSword —un detalle que agudiza la atención sobre los dispositivos que permanecieron sin actualizar pese a las correcciones de seguridad de Apple. Las referencias a iOS 26 e iOS 27 encontradas en el código del kit sugieren que sus desarrolladores podrían estar preparándose para atacar versiones más recientes del sistema operativo, aunque esas referencias no establecen por sí solas que ya existan exploits funcionales para esas versiones.

Investigadores recomiendan actualizaciones de software y prácticas más seguras con las billeteras

DarkSword no es la única preocupación de seguridad de iOS reportada que involucra a usuarios de criptomonedas. En septiembre, Apple corrigió una vulnerabilidad en su motor gráfico CoreGraphics que la compañía reconoció que puede haber sido explotada en ataques sofisticados contra personas específicas. Por separado, investigadores de seguridad de SlowMist y OKX identificaron previamente código malicioso en la aplicación FomoPeek que podía acceder a información más allá de los permisos normales de la aplicación en iOS. En conjunto, los incidentes dirigen la atención a la capa del dispositivo beneath las aplicaciones de billeteras —la misma capa que CZ destacó en su advertencia.

Las recomendaciones de seguridad de los investigadores incluyen instalar las últimas actualizaciones de iOS disponibles a través de Ajustes, General y Actualización de software, y evitar almacenar frases de recuperación de billeteras en Notas, Fotos o capturas de pantalla, donde el malware que opera en un dispositivo comprometido puede acceder a ellas. Los enlaces compartidos a través de grupos de Telegram y mensajes directos deben tratarse con cautela, especialmente cuando conducen a sitios web desconocidos —la reportada página falsa de Polymarket demuestra cómo simplemente cargar una página web maliciosa podría exponer un dispositivo sin parches.

Para los usuarios que creen que sus teléfonos ya han sido comprometidos, la orientación descrita en el material fuente es crear una nueva billetera en un dispositivo actualizado y transferir los fondos restantes. La frase de recuperación anterior no debe reutilizarse.

Los informes sobre DarkSword subrayan los riesgos de seguridad de mantener credenciales de billeteras en teléfonos inteligentes conectados a internet. Actualizar el sistema operativo, proteger las frases de recuperación y usar almacenamiento basado en hardware para tenencias significativas puede reducir la exposición a ataques dirigidos al dispositivo mismo en lugar del proceso de transacciones de una aplicación de billetera. Los desarrollos a observar de aquí en adelante son nuevas alertas de CertiK, iVerify y Google, y si las referencias del kit a versiones más recientes de iOS llegan a confirmarse como exploits funcionales.

Fuente: en.coinotag