La società di sicurezza CertiK ha avvisato che un exploit per iPhone monitorato come DarkSword può estrarre i dati dei wallet di criptovalute senza richiedere agli utenti di approvare alcuna transazione. In un avviso pubblicato su X il 6 novembre, CertiK ha dichiarato che l'exploit è in grado di prendere di mira diverse app crypto ampiamente utilizzate — tra cui MetaMask, Trust Wallet, Phantom, Exodus e Coinbase — e potrebbe inoltre raccogliere password e frasi di recupero memorizzate altrove su un dispositivo infetto. Le frasi di recupero sono le sequenze di parole che ripristinano l'accesso completo a un wallet self-custody.

L'avviso descrive un rischio che si discosta dallo schema dei convenzionali attacchi di svuotamento del wallet, che generalmente dipendono dalla firma di transazioni dannose da parte delle vittime o dalla concessione di accesso ai propri wallet. DarkSword, secondo quanto riportato, colpisce le debolezze del sistema operativo iPhone stesso, potenzialmente consentendo agli attaccanti di accedere direttamente alle informazioni sensibili da un dispositivo compromesso. Per gli utenti self-custody, questa distinzione è importante perché la salvaguardia standard — la revisione e l'approvazione di ogni transazione all'interno dell'app del wallet — non offre alcun punto di controllo quando i dati vengono prelevati direttamente dal sistema operativo.

DarkSword sfrutta sei vulnerabilità iOS

La catena di attacco è stata documentata dal Threat Intelligence Group di Google in un rapporto pubblicato il 18 marzo. I ricercatori hanno descritto sei vulnerabilità che interessano le versioni iOS dalla 18.4 alla 18.7, combinabili per compromettere i dispositivi vulnerabili.

Dopo lo sfruttamento riuscito, Google ha identificato tre famiglie di malware distribuite: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. Le loro capacità includono la raccolta di informazioni sui wallet di criptovalute, dati del portachiavi del dispositivo, database di Note, cronologia del browser e contenuti multimediali personali. Il portachiavi è lo store integrato di Apple per le password salvate e altre credenziali.

Google ha inoltre osservato campagne mirate a utenti in Arabia Saudita, Turchia, Malesia e Ucraina, con attività risalenti almeno a novembre 2025.

Apple ha affrontato le vulnerabilità attraverso aggiornamenti di sicurezza, con il set completo di correzioni disponibile al rilascio di iOS 26.3. Poiché la maggior parte delle patch era stata distribuita in precedenza, i sistemi operativi non aggiornati emergono come fattore centrale nell'esposizione segnalata.

Le nuove varianti di DarkSword ampliano la minaccia

L'exploit kit ha continuato a evolversi. La società di sicurezza mobile iVerify ha reso nota una variante P7 di DarkSword in un rapporto dell'8 ottobre, dopo aver indagato su un'infezione scoperta sul dispositivo di un cliente in agosto.

Secondo iVerify, l'implant contatta il proprio server di comando ogni 15 secondi per impostazione predefinita. Elabora inoltre le informazioni del portachiavi localmente prima di inviare i dati ai propri operatori e include un comando dedicato per identificare le app wallet installate ed estrarre informazioni da imToken.

Anche la distribuzione ha attirato attenzione. Un'indagine separata pubblicata il 21 ottobre da iVerify e Report URI ha ricostruito la diffusione di DarkSword attraverso pubblicità dannosa. Una campagna si basava, secondo quanto riportato, su un annuncio Instagram a tema Mondiale che ha infettato il dispositivo di un dipendente mentre la persona scorreva semplicemente sulla piattaforma.

I ricercatori hanno inoltre identificato una campagna chiamata DeadTag, costruita su centinaia di domini di analytics re-registrati. La rete associata a quei domini era stimata ricevere circa 135 milioni di visite al mese. Un altro metodo di distribuzione prevedeva una pagina Polymarket contraffatta che distribuisce due varianti di DarkSword — i dispositivi vulnerabili potevano, secondo quanto riportato, venire infettati automaticamente al caricamento della pagina.

CertiK ha raccomandato l'uso di hardware wallet per proteggere consistenti riserve di criptovalute e suggerito la Modalità Isolamento di Apple per le persone esposte a rischi di sicurezza elevati. Gli hardware wallet conservano le chiavi private su un dispositivo fisico dedicato anziché su un telefono connesso a Internet, mentre la Modalità Isolamento è un'impostazione facoltativa di Apple, introdotta nel 2022, che limita le funzioni del dispositivo per gli utenti considerati esposti a minacce mirate.

CZ esorta gli utenti iPhone ad aggiornare dopo la segnalazione di una perdita di 5,57 milioni di dollari

Anche il co-fondatore di Binance Changpeng Zhao si è fatto sentire, esortando gli utenti iPhone ad aggiornare immediatamente i propri sistemi operativi. In un post su X venerdì, ha sottolineato che le applicazioni wallet non possono correggere le vulnerabilità del sistema operativo sottostante, e che gli utenti che gestiscono in autonomia le proprie chiavi private restano responsabili della sicurezza dei propri dispositivi.

Il suo avviso è seguito alle stime del ricercatore di sicurezza Officer's Notes, che ha dichiarato che circa 5,57 milioni di dollari in asset digitali erano già stati rubati attraverso la vulnerabilità. Le perdite segnalate sono state collegate a oltre 18 siti web che ospitavano codice dannoso.

Officer's Notes ha anche riferito che l'exploit kit era in vendita online per circa 30.000 dollari. Una versione includeva, secondo quanto riportato, un modulo specificamente progettato per colpire il wallet imToken.

Secondo il ricercatore, iOS 18.6.2 era l'ultima versione supportata dall'exploit DarkSword — un dettaglio che concentra l'attenzione sui dispositivi rimasti non aggiornati nonostante le correzioni di sicurezza di Apple. I riferimenti a iOS 26 e iOS 27 trovati nel codice del kit suggeriscono che i suoi sviluppatori potrebbero prepararsi a colpire versioni più recenti del sistema operativo, anche se tali riferimenti non stabiliscono di per sé che exploit funzionanti per quelle versioni siano già disponibili.

I ricercatori raccomandano aggiornamenti software e pratiche più sicure per i wallet

DarkSword non è l'unico problema di sicurezza iOS segnalato che coinvolge gli utenti di criptovalute. A settembre, Apple ha corretto una vulnerabilità nel motore grafico CoreGraphics che la società ha ammesso essere stata potenzialmente sfruttata in attacchi sofisticati contro individui specifici. Separatamente, i ricercatori di sicurezza di SlowMist e OKX avevano in precedenza identificato codice dannoso nell'applicazione FomoPeek in grado di accedere a informazioni oltre i normali permessi dell'app su iOS. Insieme, questi episodi rivolgono l'attenzione al livello del dispositivo sottostante alle applicazioni wallet — lo stesso livello indicato da CZ nel suo avviso.

Le raccomandazioni di sicurezza dei ricercatori includono l'installazione degli ultimi aggiornamenti iOS disponibili tramite Impostazioni, Generali e Aggiornamento Software, e l'evitare di memorizzare le frasi di recupero dei wallet in Note, Foto o screenshot, dove malware in esecuzione su un dispositivo compromesso potrebbe accedervi. I link condivisi tramite gruppi Telegram e messaggi diretti vanno trattati con cautela, in particolare quando conducono a siti web sconosciuti — la pagina Polymarket contraffatta segnalata dimostra come il semplice caricamento di una pagina web dannosa possa esporre un dispositivo non corretto.

Per gli utenti che ritengono che il proprio telefono sia già stato compromesso, l'indicazione descritta nel materiale di partenza è creare un nuovo wallet su un dispositivo aggiornato e trasferire i fondi rimanenti. La vecchia frase di recupero non deve essere riutilizzata.

I rapporti su DarkSword sottolineano i rischi di sicurezza legati alla conservazione delle credenziali dei wallet su smartphone connessi a Internet. Aggiornare il sistema operativo, proteggere le frasi di recupero e utilizzare storage basati su hardware per consistenti riserve può ridurre l'esposizione agli attacchi mirati al dispositivo stesso anziché al processo di transazione dell'app wallet. Gli sviluppi da monitorare d'ora in poi sono ulteriori avvisi da parte di CertiK, iVerify e Google, e se i riferimenti del kit a versioni iOS più recenti verranno mai confermati come exploit funzionanti.

Fonte: en.coinotag