セキュリティ企業CertiKは、DarkSwordとして追跡されているiPhoneエクスプロイトが、ユーザーによる取引承認なしに暗号資産ウォレットデータを抽出できると警告した。11月6日にX上で公開された警告によると、このエクスプロイトはMetaMask、Trust Wallet、Phantom、Exodus、Coinbaseといった広く利用されている暗号資産アプリを標的とする能力を持ち、さらに感染デバイスの他の場所に保存されたパスワードやリカバリーフレーズを収集する可能性があるという。リカバリーフレーズとは、セルフカストディ型ウォレットへの完全なアクセスを復元する単語列のことである。

この警告が示すリスクは、被害者に悪意のあるトランザクションへの署名やウォレットへのアクセス許可を求めることが多い従来型のウォレットドレイン攻撃とは異なる。DarkSwordは報道によるとiPhoneのOS自体の脆弱性を突くもので、攻撃者が侵害されたデバイスから機密情報に直接アクセスできる可能性がある。セルフカストディユーザーにとってこの違いは重要だ。ウォレットアプリ内で各トランザクションを確認・承認するという標準的な防御策は、OSから直接データを持ち去られる場合には機能しないからだ。

DarkSwordは6つのiOS脆弱性を悪用

この攻撃チェーンは、Googleの脅威インテリジェンスグループが3月18日に公開したレポートで文書化された。研究者らは、iOS 18.4〜18.7に影響する6つの脆弱性が組み合わさることで脆弱なデバイスが侵害されうると説明した。

攻撃が成功した後に展開される3つのマルウェアファミリーをGoogleが特定した：GHOSTBLADE、GHOSTKNIFE、GHOSTSABERである。これらの能力には、暗号資産ウォレット情報、デバイスのキーチェーンデータ、メモ（Notes）データベース、ブラウザ記録、個人メディアの収集が含まれる。キーチェーンとは、保存されたパスワードやその他の認証情報を管理するAppleの内蔵ストアである。

Googleはまた、サウジアラビア、トルコ、マレーシア、ウクライナのユーザーを標的としたキャンペーンを確認しており、その活動は少なくとも2025年11月まで遡る。

Appleはセキュリティアップデートを通じてこれらの脆弱性に対処し、修正一式はiOS 26.3のリリースまでに提供された。大部分のパッチはそれ以前に配信されていたため、報道されたリスクの中心要因として旧バージョンのOSが際立っている。

新しいDarkSword亜種が脅威を拡大

エクスプロイトキットは進化を続けている。モバイルセキュリティ企業iVerifyは、8月に顧客のデバイスで発見された感染を調査した後、10月8日のレポートでDarkSwordのP7亜種を開示した。

iVerifyによると、このインプラントはデフォルトで15秒ごとにコマンドサーバーへ接続する。また、データを運営者へ送信する前にキーチェーン情報をローカルで処理し、インストール済みのウォレットアプリを特定してimTokenから情報を抽出する専用コマンドを備えている。

配布手法にも注目が集まっている。10月21日にiVerifyとReport URIが公開した別の調査では、悪意のある広告を通じたDarkSwordの拡散が追跡された。あるキャンペーンでは、ワールドカップをテーマにしたInstagram広告が使用され、従業員がプラットフォームを閲覧しているだけでそのデバイスに感染したとされる。

研究者らはさらに、数百の再登録されたアナリティクスドメインに依存するDeadTagと呼ばれるキャンペーンを特定した。これらのドメインに関連するネットワークは、月間約1億3500万回のアクセスを受けていたと推定される。別の配布手法としては、2つのDarkSword亜種を配信する偽のPolymarketウェブページが確認されており、脆弱なデバイスはページの読み込み時に自動的に感染した可能性があるとされる。

CertiKは、重要な暗号資産を守るためにハードウェアウォレットの使用を推奨し、高いセキュリティリスクに直面している人にはAppleのロックダウンモードを提案した。ハードウェアウォレットは秘密鍵をインターネット接続されたスマートフォンではなく専用の物理デバイス上に保管するものであり、ロックダウンモードは2022年に導入されたAppleのオプション設定で、標的型の脅威に直面すると考えられるユーザーのためにデバイスの機能を制限するものだ。

報告された557万ドルの損失を受け、CZがiPhoneユーザーにアップデートを呼びかけ

Binanceの共同創業者Changpeng Zhaoも声を上げ、iPhoneユーザーにOSを直ちにアップデートするよう呼びかけた。金曜日にXへ投稿した内容で、ウォレットアプリはその下にあるOSの脆弱性を修正できず、自己の秘密鍵を管理するユーザーはデバイスのセキュリティ確保に引き続き責任を持つと強調した。

この警告に先立ち、セキュリティ研究者Officer's Notesは、この脆弱性を通じて約557万ドル相当のデジタル資産がすでに窃取されたと推定していた。報告された損失は、悪意のあるコードをホストする18以上のウェブサイトに関連しているという。

Officer's Notesはまた、このエクスプロイトキットがオンラインで約3万ドルで販売されていたとも報告している。あるバージョンにはimTokenウォレットを標的とする専用モジュールが含まれていたとされる。

同研究者によると、iOS 18.6.2がDarkSwordエクスプロイトが対応する最後のバージョンであり、この詳細により、Appleのセキュリティ修正にもかかわらず更新されていないデバイスに注意が向くこととなった。キットのコード内で見つかったiOS 26およびiOS 27への言及は、開発者がより新しいOSバージョンを標的とする準備をしている可能性を示唆するが、これらの言及だけでは、該当バージョンに対する動作するエクスプロイトがすでに存在することの証明にはならない。

研究者らはソフトウェア更新とより安全なウォレット運用を推奨

DarkSwordは、暗号資産ユーザーに関連するiOSセキュリティ懸念として報告された唯一の事例ではない。9月、AppleはCoreGraphicsグラフィックスエンジンの脆弱性を修正した。同社はこの脆弱性が特定の個人に対する高度な攻撃で悪用された可能性があることを認めている。また、SlowMistとOKXのセキュリティ研究者は以前、FomoPeekアプリケーションに、iOS上でアプリの通常の権限を超えて情報へアクセスできる悪意のあるコードを確認していた。これらの事象を総合すると、ウォレットアプリケーションの下にあるデバイスレイヤー、すなわちCZが警告で指摘したのと同じレイヤーに注意が向けられている。

研究者らのセキュリティ推奨事項には、「設定」→「一般」→「ソフトウェア・アップデート」から最新のiOSアップデートをインストールすることや、侵害されたデバイス上で動作するマルウェアがアクセスする可能性のあるメモ（Notes）、写真（Photos）、スクリーンショットにウォレットのリカバリーフレーズを保存しないことが含まれる。Telegramグループやダイレクトメッセージで共有されるリンクは、見知らぬウェブサイトへ誘導する場合には特に慎重に扱うべきだ。報道された偽Polymarketページは、悪意のあるウェブページを読み込むだけでパッチ未適用のデバイスが危険にさらされうることを示している。

スマートフォンがすでに侵害されていると考えるユーザーについては、資料に記載されたガイダンスとして、更新済みのデバイスで新しいウォレットを作成し、残りの資金を移行することが挙げられる。古いリカバリーフレーズは再利用すべきではない。

DarkSwordに関する一連の報告は、インターネット接続されたスマートフォンにウォレットの認証情報を保持することのセキュリティリスクを浮き彫りにしている。OSの更新、リカバリーフレーズの保護、重要な資産に対するハードウェアベースの保管は、ウォレットアプリのトランザクション処理ではなくデバイス自体を標的とする攻撃への暴露を低減しうる。今後注目すべき動向は、CertiK、iVerify、Googleによる追加の注意喚起と、キットのコード内のより新しいiOSバージョンへの言及が動作するエクスプロイトとして確認されるかどうかである。

Source: en.coinotag