Beveiligingsbedrijf CertiK heeft gewaarschuwd dat een iPhone-exploit die geregistreerd staat als DarkSword cryptocurrency-portemonneedata kan aftappen zonder dat gebruikers een transactie hoeven goed te keuren. In een waarschuwing gepubliceerd op X op 6 november zei CertiK dat de exploit verschillende veelgebruikte crypto-applicaties kan treffen — waaronder MetaMask, Trust Wallet, Phantom, Exodus en Coinbase — en daarnaast wachtwoorden en herstelzinnen kan verzamelen die elders op een besmet apparaat zijn opgeslagen. Herstelzinnen zijn de woordreeksen die volledige toegang tot een self-custody portemonnee herstellen.

De waarschuwing beschrijft een risico dat afwijkt van het patroon van conventionele wallet-draining-aanvallen, die doorgaans afhankelijk zijn van het ondertekenen van kwaadaardige transacties door slachtoffers of het verlenen van toegang tot hun portemonnees. DarkSword zou naar verluidt misbruik maken van zwakke plekken in het iPhone-besturingssysteem zelf, waardoor aanvallers mogelijk rechtstreeks gevoelige informatie van een gecompromitteerd apparaat kunnen bereiken. Voor self-custody gebruikers is dat onderscheid van belang, omdat de standaardbeveiliging — het controleren en goedkeuren van elke transactie in een wallet-app — geen controlepunt biedt wanneer data rechtstreeks uit het besturingssysteem wordt gehaald.

DarkSword misbruikt zes iOS-kwetsbaarheden

De aanvalsketen is gedocumenteerd door Google's Threat Intelligence Group in een rapport gepubliceerd op 18 maart. Onderzoekers beschreven zes kwetsbaarheden die iOS-versies 18.4 tot en met 18.7 treffen en die gecombineerd konden worden om kwetsbare apparaten te compromitteren.

Na succesvolle exploitatie identificeerde Google drie malwarefamilies die werden ingezet: GHOSTBLADE, GHOSTKNIFE en GHOSTSABER. Hun mogelijkheden omvatten het verzamelen van cryptocurrency-portemonneegegevens, keychain-data van het apparaat, Notities-databases, browsergegevens en persoonlijke media. De keychain is Apple's ingebouwde opslag voor opgeslagen wachtwoorden en andere inloggegevens.

Google observeerde ook campagnes gericht op gebruikers in Saoedi-Arabië, Turkije, Maleisië en Oekraïne, met activiteit die teruggaat tot ten minste november 2025.

Apple heeft de kwetsbaarheden aangepakt via beveiligingsupdates, waarbij de volledige set fixes beschikbaar was bij de release van iOS 26.3. Omdat de meeste patches eerder al waren uitgeleverd, vormen verouderde besturingssystemen een centrale factor in de gemelde blootstelling.

Nieuwe DarkSword-varianten vergroten de dreiging

De exploitkit is doorontwikkeld. Mobiel beveiligingsbedrijf iVerify onthulde een P7-variant van DarkSword in een rapport van 8 oktober, na onderzoek naar een infectie die in augustus op het apparaat van een klant werd ontdekt.

Volgens iVerify contacteert de implant standaard elke 15 seconden zijn commandoserver. Het verwerkt keychain-informatie lokaal voordat data naar de operators wordt verzonden en bevat een specifieke opdracht om geïnstalleerde wallet-applicaties te identificeren en informatie uit imToken te extraheren.

Ook de distributie kreeg aandacht. Een afzonderlijk onderzoek gepubliceerd op 21 oktober door iVerify en Report URI bracht de verspreiding van DarkSword via kwaadaardige advertenties in kaart. Eén campagne zou hebben geleund op een Instagram-advertentie met een Wereldbeker-thema die het apparaat van een medewerker infecteerde terwijl die persoon simpelweg door het platform scrolde.

De onderzoekers identificeerden ook een campagne genaamd DeadTag, gebouwd op honderden opnieuw geregistreerde analytics-domeinen. Het netwerk dat aan die domeinen was gekoppeld, zou naar schatting ongeveer 135 miljoen bezoeken per maand ontvangen. Een andere distributiemethode betrof een nep-Polymarket-webpagina die twee DarkSword-varianten afleverde — kwetsbare apparaten zouden naar verluidt automatisch besmet kunnen raken bij het laden van de pagina.

CertiK raadde aan hardware wallets te gebruiken om aanzienlijke cryptocurrency-bezittingen te beschermen en stelde Apple's Lockdown Mode voor aan personen met verhoogde beveiligingsrisico's. Hardware wallets bewaren privésleutels op een speciaal fysiek apparaat in plaats van op een met internet verbonden telefoon, terwijl Lockdown Mode een optionele Apple-instelling is, geïntroduceerd in 2022, die de functies van een apparaat beperkt voor gebruikers die geacht worden gerichte dreigingen te ondervinden.

CZ roept iPhone-gebruikers op te updaten na gemeld verlies van 5,57 miljoen dollar

Binance-medegrondlegger Changpeng Zhao voegde zijn stem toe en riep iPhone-gebruikers op hun besturingssysteem onmiddellijk bij te werken. In een bericht op X op vrijdaag benadrukte hij dat wallet-applicaties kwetsbaarheden in het onderliggende besturingssysteem niet kunnen oplossen, en dat gebruikers die hun eigen privésleutels beheren verantwoordelijk blijven voor het beveiligen van hun apparaten.

Zijn waarschuwing volgde op schattingen van beveiligingsonderzoeker Officer's Notes, die stelde dat er al circa 5,57 miljoen dollar aan digitale activa via de kwetsbaarheid was gestolen. De gemelde verliezen werden gekoppeld aan meer dan 18 websites die kwaadaardige code hostten.

Officer's Notes meldde ook dat de exploitkit online werd verkocht voor circa 30.000 dollar. Eén versie zou een module bevatten die specifiek was ontworpen om de imToken-portemonnee aan te vallen.

Volgens de onderzoeker was iOS 18.6.2 de laatste versie die door de DarkSword-exploit werd ondersteund — een detail dat de aandacht richt op apparaten die ondanks Apple's beveiligingsfixes niet zijn bijgewerkt. Verwijzingen naar iOS 26 en iOS 27 in de code van de kit suggereren dat de ontwikkelaars zich mogelijk voorbereiden op nieuwere besturingssysteemversies, hoewel die verwijzingen op zichzelf niet aantonen dat er al werkende exploits voor die versies bestaan.

Onderzoekers adviseren software-updates en veiliger portemonneegebruik

DarkSword is niet het enige gemelde iOS-beveiligingsprobleem dat cryptocurrency-gebruikers raakt. In september dichtte Apple een kwetsbaarheid in zijn CoreGraphics-grafische engine die het bedrijf erkende mogelijk te zijn misbruikt in geavanceerde aanvallen tegen specifieke individuen. Apart daarvan identificeerden beveiligingsonderzoekers van SlowMist en OKX eerder kwaadaardige code in de FomoPeek-applicatie die informatie kon benaderen buiten de normale app-rechten op iOS. Samen richtten deze incidenten de aandacht op de apparaatlaag onder de wallet-applicaties — dezelfde laag die CZ in zijn waarschuwing uitdrukkelijk noemde.

Beveiligingsadviezen van de onderzoekers omvatten het installeren van de nieuwste beschikbare iOS-updates via Instellingen, Algemeen en Software-update, en het vermijden van opslag van wallet-herstelzinnen in Notities, Foto's of screenshots, waar malware op een gecompromitteerd apparaat ze mogelijk kan bereiken. Links die via Telegram-groepen en directe berichten worden gedeeld, moeten met voorzichtigheid worden behandeld, vooral wanneer ze naar onbekende websites leiden — de gemelde nep-Polymarket-pagina laat zien hoe het louter laden van een kwaadaardige webpagina een niet-gepatcht apparaat kan blootstellen.

Voor gebruikers die vermoeden dat hun telefoon al is gecompromitteerd, luidt de in het bronmateriaal beschreven advies: maak een nieuwe portemonnee aan op een bijgewerkt apparaat en verhuis de resterende fondsen. De oude herstelzin mag niet opnieuw worden gebruikt.

De DarkSword-rapporten onderstrepen de beveiligingsrisico's van het bewaren van portemonneegegevens op met internet verbonden smartphones. Het bijwerken van het besturingssysteem, het beschermen van herstelzinnen en het gebruik van hardware-opslag voor aanzienlijke bezittingen kunnen de blootstelling aan aanvallen verminderen die het apparaat zelf raken in plaats van het transactieproces van een wallet-applicatie. De ontwikkelingen om in de gaten te houden zijn verdere adviezen van CertiK, iVerify en Google, en of de verwijzingen naar nieuwere iOS-versies ooit worden bevestigd als werkende exploits.

Bron: en.coinotag