Binance-oprichter Changpeng Zhao heeft een dringende waarschuwing uitgevaardigd aan crypto-houders: update nu je iPhone. Een wallet kan crypto beveiligen, merkte hij op, maar niet het besturingssysteem eronder. Self-custody is in zijn woorden een plicht — en die plicht omvat ook het veilig houden van het apparaat zelf.

De waarschuwing kwam toen DarkSword, een iOS-exploitketen, terugkeerde om beveiligingsonderzoekers te achtervolgen en geld uit crypto-wallets te stelen. Dit is geen probleem van een specifieke wallet of een bug in één stuk walletsoftware; het is een bug in wat eronder ligt. Wanneer een besturingssysteem is gecompromitteerd, kan de bescherming die walletsoftware biedt worden omzeild.

Wat er gebeurde — en waarom CZ iedereen aanspoort te updaten

DarkSword werd in maart openbaar gemaakt door Google Threat Intelligence Group, Lookout en iVerify. De onderzoekers beschreven zes iOS-beveiligingskwetsbaarheden die de Safari-sandbox kunnen omzeilen — de beveiligingsgrens die webcontent geïsoleerd houdt van de rest van het apparaat — en die uitbraak naar hogere privileges mogelijk maken, zoals gedocumenteerd in het Google Threat Intelligence-rapport. De aanval begint wanneer een slachtoffer een kwaadwillende webpagina opent in Safari — geen walletverbinding of transactiehandtekening is vereist. Dat onderscheidt dit van de meeste wallet-draining-oplichting, die draait om het goedkeuren van een kwaadwillende transactie door de gebruiker; hier was het simpelweg openen van de pagina al genoeg.

Eenmaal uit de sandbox zou de aanval wachtwoorden, bestanden en in sommige gevallen privésleutels of herstelzinnen blootleggen, aldus Reuters, wat de inzet voor iOS-beveiliging onderstreept. Aan de exploit gekoppelde gegevens wezen op een verlies van $5,57 miljoen uit meer dan 20 wallets, en er werden ten minste 18 kwaadwillende websites geïdentificeerd (Lookonchain).

CZ riep iOS-gebruikers op — vooral wie nog niet op een gepatchte versie zit — hun systemen bij te werken en de apparaatbeveiliging te herstellen. Geen enkele walletapplicatie kan het besturingssysteem voor je bijwerken, zei hij, en bij self-custody is er geen helpdesk die een transactie terugdraait of een verloren seed phrase herstelt.

Update your iOS, especially if you haven't updated in a while. No wallet software can update your OS. Self-custody means self responsibility.

— CZ 🔶 BNB (@cz_binance) November 6, 2026

Waarom iOS-beveiliging belangrijk is voor crypto

Crypto-beveiliging wordt doorgaans besproken in termen van smart contracts, exchanges, bridges en privésleutels — veel minder vaak apparaatbeveiliging, terwijl de meeste particuliere gebruikers crypto bereiken via een mobiel apparaat. Een mobiele wallet is slechts zo veilig als het onderliggende besturingssysteem, de browser en de hardware.

Jarenlang werd iOS-beveiliging als stevig beschouwd, omdat Apple de hardware, de software en de App Store beheerst. Die reputatie kan aanleiding geven tot zelfgenoegzaamheid: gebruikers slaan updates over of blijven een verouderd apparaat gebruiken voor browsen, berichten en bankieren, naast crypto. DarkSword keert die aanname om — één geïnfecteerde webpagina is een voldoende ingang als de bekende kwetsbaarheden aanwezig zijn.

De aansprakelijkheid is niet beperkt tot één walletprovider. Onderzoekers identificeerden de exploit op apparaten met iOS-versies 18.4 tot 18.7, terwijl nieuwsberichten wezen op mogelijke doelwitten zoals Trust Wallet, MetaMask, Phantom, Coinbase en Exodus. Een andere wallet kiezen lost een ongepatcht besturingssysteem niet op, omdat de werkelijke fout onder de applaag ligt, in de iOS-beveiliging zelf.

Updaten, beveiligen en beschermen

Apple heeft de DarkSword-exploits inmiddels gepatcht, volgens Malwarebytes. Fixes werden uitgebracht via iOS 18.6, 18.7.2 en 18.7.3, samen met iOS 26.1 en 26.3, waarbij de laatste alle zes gecorrigeerde kwetsbaarheden bevat vanaf 26.3. (De sprong van 18 naar 26 weerspiegelt Apple's overstap in 2025 naar versienummering op basis van het jaar.) Apparaten die deze fixes niet hebben geïnstalleerd, blijven kwetsbaar voor de bekende keten. De updatemethode is eenvoudig: ga naar Instellingen, dan Algemeen, dan Software-update — en vermijd links van onbekende accounts.

Gebruikers moeten ook heroverwegen waar ze hun herstelzinnen bewaren. Seed phrases horen niet thuis in Notities, screenshots in Foto's, cloudback-ups of messaging-apps: een aanvaller met toegang tot het apparaat kan alles wat daar is opgeslagen in platte tekst lezen. Wie grote bezittingen heeft, kan een deel van dat aanvalsoppervlak afsluiten met een hardware wallet of Apple's Lockdown-modus, een optionele verhardde modus voor gebruikers die mogelijk het doelwit zijn van geavanceerde aanvallen.

Als een apparaat als gecompromitteerd wordt beschouwd, kunnen gebruikers een nieuwe wallet aanmaken op een schoon apparaat, de fondsen overzetten en de oude seed phrase weggooien. Een update beschermt het apparaat voortaan, maar kan een reeds blootgestelde seed phrase niet redden — het genereren van nieuwe adressen vanuit dezelfde seed is niet voldoende, want de mastersleutel is al gecompromitteerd. Bij self-custody is het updaten van iOS niet alleen goed apparaatonderhoud — het is goede crypto-hygiëne.