Firma bezpieczeństwa CertiK ostrzegła, że exploit na iPhone'a śledzony jako DarkSword może wyodrębnić dane portfeli kryptowalutowych bez konieczności zatwierdzania przez użytkownika jakiejkolwiek transakcji. W ostrzeżeniu opublikowanym na X 6 listopada CertiK poinformował, że exploit jest zdolny do atakowania kilku powszechnie używanych aplikacji krypto — w tym MetaMask, Trust Wallet, Phantom, Exodus i Coinbase — i może dodatkowo pozyskiwać hasła oraz frazy odzyskiwania przechowywane w innych miejscach na zainfekowanym urządzeniu. Frazy odzyskiwania to sekwencje słów przywracające pełny dostęp do portfela self-custody.

Ostrzeżenie opisuje ryzyko odbiegające od schematu konwencjonalnych ataków opróżniających portfele, które zazwyczaj polegają na podpisywaniu złośliwych transakcji przez ofiary lub udzielaniu dostępu do portfeli. DarkSword — jak donoszą źródła — wykorzystuje słabości samego systemu operacyjnego iPhone'a, potencjalnie pozwalając atakującym na bezpośredni dostęp do poufnych informacji z zainfekowanego urządzenia. Dla użytkowników self-custody ta różnica ma znaczenie, ponieważ standardowe zabezpieczenie — sprawdzanie i zatwierdzanie każdej transakcji w aplikacji portfela — nie stanowi punktu kontrolnego, gdy dane są wyodrębniane bezpośrednio z systemu operacyjnego.

DarkSword wykorzystuje sześć podatności iOS

Łańcuch ataku został udokumentowany przez Google Threat Intelligence Group w raporcie opublikowanym 18 marca. Badacze opisali sześć podatności dotyczących wersji iOS od 18.4 do 18.7, które mogły być łączone w celu skompromitowania podatnych urządzeń.

Po skutecznej eksploatacji Google zidentyfikował trzy rodziny złośliwego oprogramowania: GHOSTBLADE, GHOSTKNIFE i GHOSTSABER. Ich możliwości obejmują zbieranie informacji o portfelach kryptowalutowych, danych keychain urządzenia, baz Notes, historii przeglądarki oraz prywatnych multimediów. Keychain to wbudowane w Apple repozytorium zapisanych haseł i innych danych uwierzytelniających.

Google zaobserwował także kampanie wymierzone w użytkowników w Arabii Saudyjskiej, Turcji, Malezji i na Ukrainie, a aktywność sięga co najmniej listopada 2025 roku.

Apple usunęło podatności poprzez aktualizacje bezpieczeństwa, a pełen zestaw poprawek był dostępny wraz z wydaniem iOS 26.3. Ponieważ większość poprawek została dostarczona wcześniej, przestarzałe systemy operacyjne wyróżniają się jako główny czynnik opisywanego ryzyka.

Nowe warianty DarkSword rozszerzają zagrożenie

Zestaw exploitów wciąż ewoluuje. Firma zajmująca się bezpieczeństwem urządzeń mobilnych iVerify ujawniła wariant P7 DarkSworda w raporcie z 8 października, po zbadaniu infekcji wykrytej w sierpniu na urządzeniu klienta.

Według iVerify implant domyślnie kontaktuje się ze swoim serwerem dowodzenia co 15 sekund. Przetwarza on również informacje z keychain lokalnie przed wysłaniem danych do operatorów i zawiera dedykowaną komendę do identyfikacji zainstalowanych aplikacji portfeli oraz wyodrębniania informacji z imToken.

Sposób dystrybucji również wzbudził zainteresowanie. Osobne śledztwo opublikowane 21 października przez iVerify i Report URI prześledziło rozprzestrzenianie się DarkSworda poprzez złośliwe reklamy. Jedna z kampanii — jak podają źródła — opierała się na reklamie Instagram o tematyce mistrzostw świata, która zainfekowała urządzenie pracownika podczas zwykłego przeglądania platformy.

Badacze zidentyfikowali także kampanię o nazwie DeadTag, opartą na setkach ponownie zarejestrowanych domen analitycznych. Sieć powiązana z tymi domenami szacowana była na około 135 milionów wizyt miesięcznie. Inną metodą dystrybucji była fałszywa strona Polymarket, która dostarczała dwa warianty DarkSworda — podatne urządzenia mogły, według doniesień, zostać zainfekowane automatycznie podczas ładowania strony.

CertiK zalecił korzystanie z portfeli sprzętowych w celu ochrony znaczących zasobów kryptowalut i zasugerował tryb Lockdown Apple dla osób narażonych na podwyższone ryzyko. Portfele sprzętowe przechowują klucze prywatne na dedykowanym urządzeniu fizycznym, a nie na telefonie połączonym z internetem, natomiast tryb Lockdown to opcjonalne ustawienie Apple, wprowadzone w 2022 roku, które ogranicza funkcje urządzenia dla użytkowników uznanych za narażonych na ukierunkowane zagrożenia.

CZ wzywa użytkowników iPhone'ów do aktualizacji po zgłoszonej stracie 5,57 miliona dolarów

Współzałożyciel Binance Changpeng Zhao dołączył do ostrzeżeń, wzywając użytkowników iPhone'ów do natychmiastowej aktualizacji systemów operacyjnych. We wpisie na X w piątek podkreślił, że aplikacje portfeli nie mogą naprawić podatności w systemie operacyjnym znajdującym się pod nimi, a użytkownicy zarządzający własnymi kluczami prywatnymi nadal odpowiadają za zabezpieczenie swoich urządzeń.

Jego ostrzeżenie poprzedziły szacunki badacza bezpieczeństwa Officer's Notes, który stwierdził, że około 5,57 miliona dolarów w aktywach cyfrowych zostało już skradzionych poprzez tę podatność. Zgłoszone straty powiązano z ponad 18 stronami internetowymi zawierającymi złośliwy kod.

Officer's Notes poinformował również, że zestaw exploitów był sprzedawany online za około 30 000 dolarów. Jedna z wersji zawierała — według doniesień — moduł zaprojektowany specjalnie do atakowania portfela imToken.

Według badacza iOS 18.6.2 była ostatnią wersją obsługiwaną przez exploit DarkSword — szczegół, który koncentruje uwagę na urządzeniach niezaaktualizowanych mimo poprawek bezpieczeństwa Apple. Odwołania do iOS 26 i iOS 27 znalezione w kodzie zestawu sugerują, że jego twórcy mogą przygotowywać się do atakowania nowszych wersji systemu operacyjnego, choć same te odwołania nie dowodzą, że działające exploity dla tych wersji są już dostępne.

Badacze zalecają aktualizacje oprogramowania i bezpieczniejsze praktyki portfelowe

DarkSword nie jest jedynym zgłoszonym problemem bezpieczeństwa iOS dotyczącym użytkowników kryptowalut. We wrześniu Apple naprawiło podatność w silniku graficznym CoreGraphics, która — jak przyznała firma — mogła być wykorzystywana w wyrafinowanych atakach na konkretne osoby. Oddzielnie badacze bezpieczeństwa ze SlowMist i OKX wcześniej zidentyfikowali złośliwy kod w aplikacji FomoPeek, który mógł uzyskać dostęp do informacji wykraczających poza normalne uprawnienia aplikacji na iOS. Wzięte razem te zdarzenia kierują uwagę na warstwę urządzenia znajdującą się pod aplikacjami portfeli — tę samą warstwę, którą CZ wskazał w swoim ostrzeżeniu.

Zalecenia bezpieczeństwa od badaczy obejmują instalację najnowszych dostępnych aktualizacji iOS poprzez Ustawienia, Ogólne i Uaktualnienia oprogramowania oraz unikanie przechowywania fraz odzyskiwania portfela w Notes, Zdjęciach lub zrzutach ekranu, gdzie złośliwe oprogramowanie działające na zainfekowanym urządzeniu może mieć do nich dostęp. Linki udostępniane przez grupy i wiadomości prywatne na Telegramie należy traktować ostrożnie, zwłaszcza gdy prowadzą do nieznanych stron internetowych — zgłoszona fałszywa strona Polymarket pokazuje, jak samo załadowanie złośliwej strony może narazić urządzenie bez zainstalowanych poprawek.

Dla użytkowników, którzy podejrzewają, że ich telefony zostały już skompromitowane, wskazówką opisaną w materiałach źródłowych jest utworzenie nowego portfela na zaaktualizowanym urządzeniu i przelanie pozostałych środków. Starej frazy odzyskiwania nie należy ponownie używać.

Raporty o DarkSwordzie podkreślają ryzyko bezpieczeństwa związane z przechowywaniem danych portfeli na smartfonach połączonych z internetem. Aktualizacja systemu operacyjnego, ochrona fraz odzyskiwania i korzystanie z przechowywania sprzętowego dla znaczących zasobów mogą zmniejszyć ryzyko ataków wymierzonych w samo urządzenie, a nie w proces transakcyjny aplikacji portfela. Kolejne rozwoje, które warto obserwować, to dalsze ostrzeżenia od CertiK, iVerify i Google oraz to, czy odwołania zestawu do nowszych wersji iOS zostaną kiedykolwiek potwierdzone jako działające exploity.

Źródło: en.coinotag