Компания в сфере безопасности CertiK предупредила, что эксплойт для iPhone, отслеживаемый под названием DarkSword, способен извлекать данные криптокошельков без необходимости подтверждения каких-либо транзакций пользователем. В предупреждении, опубликованном в X 6 ноября, CertiK сообщила, что эксплойт способен атаковать несколько широко используемых криптоприложений — среди них MetaMask, Trust Wallet, Phantom, Exodus и Coinbase — и может дополнительно собирать пароли и резервные фразы, хранящиеся в других местах на зараженном устройстве. Резервные фразы — это последовательности слов, восстанавливающие полный доступ к некастодиальному кошельку.

В предупреждении описывается риск, отличающийся от модели традиционных атак по опустошению кошельков, которые обычно зависят от того, что жертва подписывает вредоносные транзакции или предоставляет доступ к своим кошелькам. По имеющимся данным, DarkSword атакует слабые места самой операционной системы iPhone, потенциально позволяя злоумышленникам напрямую получать конфиденциальную информацию со скомпрометированного устройства. Для пользователей некастодиальных кошельков это различие имеет значение, поскольку стандартная мера предосторожности — проверка и подтверждение каждой транзакции внутри приложения кошелька — не дает никакой контрольной точки, когда данные извлекаются напрямую из операционной системы.

DarkSword использует шесть уязвимостей iOS

Цепочка атаки была задокументирована Google Threat Intelligence Group в отчете, опубликованном 18 марта. Исследователи описали шесть уязвимостей, затрагивающих версии iOS с 18.4 по 18.7, которые можно комбинировать для компрометации уязвимых устройств.

После успешной эксплуатации Google выявила три семейства вредоносного ПО, развернутых на устройствах: GHOSTBLADE, GHOSTKNIFE и GHOSTSABER. Их возможности включают сбор информации о криптовалютных кошельках, данных связки ключей устройства, баз данных Notes, истории браузера и личных медиафайлов. Связка ключей (Keychain) — это встроенное хранилище Apple для сохраненных паролей и других учетных данных.

Google также зафиксировала кампании, нацеленные на пользователей в Саудовской Аравии, Турции, Малайзии и Украине, активность которых прослеживается как минимум до ноября 2025 года.

Apple устранила уязвимости с помощью обновлений безопасности, полный набор исправлений был доступен к выходу iOS 26.3. Поскольку большинство патчей было выпущено ранее, устаревшие операционные системы выделяются как центральный фактор зафиксированной уязвимости.

Новые варианты DarkSword расширяют угрозу

Набор эксплойтов продолжает развиваться. Компания мобильной безопасности iVerify раскрыла вариант DarkSword под названием P7 в отчете от 8 октября после расследования заражения, обнаруженного на устройстве клиента в августе.

По данным iVerify, имплант по умолчанию связывается со своим командным сервером каждые 15 секунд. Он также обрабатывает информацию связки ключей локально перед отправкой данных своим операторам и включает специальную команду для identification установленных приложений кошельков и извлечения информации из imToken.

Способы распространения также привлекли внимание. Отдельное расследование, опубликованное 21 октября iVerify и Report URI, проследило распространение DarkSword через вредоносную рекламу. По имеющимся данным, одна кампания использовала рекламу в Instagram на тему чемпионата мира по футболу, которая заразила устройство сотрудника, пока он просто пролистывал платформу.

Исследователи также выявили кампанию под названием DeadTag, построенную на сотнях перерегистрированных аналитических доменов. По оценкам, сеть, связанная с этими доменами, получала примерно 135 миллионов посещений в месяц. Другой способ распространения включал поддельную веб-страницу Polymarket, которая распространяла два варианта DarkSword — по имеющимся данным, уязвимые устройства могли заражаться автоматически при загрузке страницы.

CertiK рекомендовала использовать аппаратные кошельки для защиты значительных криптовалютных активов и предложила режим блокировки (Lockdown Mode) Apple для людей, подверженных повышенным рискам безопасности. Аппаратные кошельки хранят приватные ключи на отдельном физическом устройстве, а не на подключенном к интернету телефоне, а режим блокировки — это дополнительная настройка Apple, представленная в 2022 году, которая ограничивает функции устройства для пользователей, подверженных целенаправленным угрозам.

CZ призывает пользователей iPhone обновиться после сообщения о потере 5,57 млн долларов

Сооснователь Binance Чанпэн Чжао присоединился к предупреждениям, призвав пользователей iPhone немедленно обновить свои операционные системы. В публикации в X в пятницу он подчеркнул, что приложения кошельков не могут исправить уязвимости в лежащей под ними операционной системе и что пользователи, самостоятельно управляющие своими приватными ключами, несут ответственность за защиту своих устройств.

Его предупреждение последовало за оценками исследователя безопасности Officer's Notes, который сообщил, что через уязвимость уже было похищено цифровых активов примерно на 5,57 млн долларов. Зафиксированные потери были связаны более чем с 18 сайтами, размещавшими вредоносный код.

Officer's Notes также сообщил, что набор эксплойтов продавался в интернете примерно за 30 000 долларов. По имеющимся данным, одна из версий включала модуль, специально разработанный для атаки на кошелек imToken.

По данным исследователя, iOS 18.6.2 была последней версией, поддерживаемой эксплойтом DarkSword — эта деталь обостряет внимание на устройствах, оставшихся без обновлений, несмотря на исправления безопасности Apple. Упоминания iOS 26 и iOS 27, найденные в коде набора, позволяют предположить, что его разработчики могут готовить атаки на более новые версии операционных систем, однако сами по себе эти упоминания не доказывают, что рабочие эксплойты для этих версий уже доступны.

Исследователи рекомендуют обновления ПО и более безопасные практики работы с кошельками

DarkSword — не единственная зафиксированная проблема безопасности iOS, затрагивающая пользователей криптовалют. В сентябре Apple исправила уязвимость в графическом движке CoreGraphics, которая, как признала компания, возможно, использовалась в сложных атаках против конкретных лиц. Отдельно исследователи безопасности из SlowMist и OKX ранее выявили вредоносный код в приложении FomoPeek, который мог получать доступ к информации за пределами обычных разрешений приложения в iOS. Вместе эти инциденты направляют внимание на уровень устройства, лежащий под приложениями кошельков — тот самый уровень, который CZ выделил в своем предупреждении.

Рекомендации исследователей по безопасности включают установку последних доступных обновлений iOS через «Настройки», «Основные» и «Обновление ПО», а также отказ от хранения резервных фраз кошельков в Notes, Фото или скриншотах, где вредоносное ПО на скомпрометированном устройстве может получить к ним доступ. Ссылками, распространяемыми через группы и личные сообщения в Telegram, следует пользоваться с осторожностью, особенно когда они ведут на незнакомые сайты — зафиксированная поддельная страница Polymarket демонстрирует, как простая загрузка вредоносной веб-страницы может подвергнуть риску устройство без патчей.

Для пользователей, которые считают, что их телефоны уже скомпрометированы, руководство, описанное в исходных материалах, состоит в том, чтобы создать новый кошелек на обновленном устройстве и перевести оставшиеся средства. Старую резервную фразу повторно использовать нельзя.

Отчеты о DarkSword подчеркивают риски безопасности хранения учетных данных кошельков на подключенных к интернету смартфонах. Обновление операционной системы, защита резервных фраз и использование аппаратного хранения для значительных активов могут снизить подверженность атакам, нацеленным на само устройство, а не на процесс транзакций приложения кошелька. Ключевые события, за которыми стоит следить дальше, — новые предупреждения от CertiK, iVerify и Google, а также то, будут ли упоминания более новых версий iOS в коде набора когда-либо подтверждены как рабочие эксплойты.

Источник: en.coinotag