安全公司 CertiK 警告称,一种被追踪为 DarkSword 的 iPhone 漏洞利用可以在无需用户确认任何交易的情况下提取加密钱包数据。CertiK 在 11 月 6 日于 X 上发布的警报中表示,该漏洞利用能够针对多款广泛使用的加密应用——包括 MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase——并可能进一步收集受感染设备上其他位置存储的密码和助记词。助记词是恢复自托管钱包完全访问权限的词组。

该警报描述的风险不同于传统钱包清空攻击的模式,后者通常依赖受害者签署恶意交易或授予钱包访问权限。据报道,DarkSword 针对的是 iPhone 操作系统本身的弱点,可能使攻击者直接从受感染设备访问敏感信息。对于自托管用户而言,这一区别至关重要,因为标准防护措施——在钱包应用中逐一审查并确认每笔交易——在数据被直接从操作系统中窃取时无法提供任何检查点。

DarkSword 利用六个 iOS 漏洞

该攻击链由 Google 威胁情报组在 3 月 18 日发布的一份报告中记录。研究人员描述了影响 iOS 18.4 至 18.7 版本的六个漏洞,这些漏洞可以被组合利用以入侵存在风险的设备。

在成功利用之后,Google 发现部署了三个恶意软件家族:GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。其功能包括收集加密货币钱包信息、设备钥匙串数据、备忘录数据库、浏览器记录和个人媒体。钥匙串是苹果内置的密码及其他凭据存储库。

Google 还观察到针对沙特阿拉伯、土耳其、马来西亚和乌克兰用户的攻击活动,最早可追溯到至少 2025 年 11 月。

苹果已通过安全更新修复这些漏洞,全部修复内容随 iOS 26.3 发布提供。由于大部分补丁此前已经发布,过时的操作系统成为所报告暴露风险的核心因素。

DarkSword 新变种扩大威胁

该漏洞利用工具包持续演进。移动安全公司 iVerify 在 10 月 8 日的一份报告中披露了 DarkSword 的 P7 变种,此前其调查了 8 月在客户设备上发现的一起感染事件。

据 iVerify 称,该植入程序默认每 15 秒联络一次其命令服务器。它还会在将数据发送给运营者之前在本地处理钥匙串信息,并包含一个专用命令,用于识别已安装的钱包应用并从 imToken 中提取信息。

传播方式也受到关注。iVerify 与 Report URI 在 10 月 21 日发布的另一项调查追踪了 DarkSword 通过恶意广告传播的情况。据报道,其中一次攻击活动利用了一则以世界杯为主题的 Instagram 广告,一名员工在浏览该平台时设备即被感染。

研究人员还发现了一个名为 DeadTag 的攻击活动,其依托数百个重新注册的分析域名。与这些域名相关的网络估计每月接收约 1.35 亿次访问。另一种传播方式涉及一个伪造的 Polymarket 网页,该网页投递了两个 DarkSword 变种——据报道,存在漏洞的设备在页面加载时即可被自动感染。

CertiK 建议使用硬件钱包保护大量加密货币资产,并向面临较高安全风险的人群推荐苹果的锁定模式。硬件钱包将私钥保存在专用物理设备上,而非联网手机中;锁定模式是苹果于 2022 年推出的一项可选设置,可限制设备功能,面向被认为面临定向威胁的用户。

报告损失达 557 万美元后,CZ 敦促 iPhone 用户尽快更新

Binance 联合创始人赵长鹏也发出呼吁,敦促 iPhone 用户立即更新操作系统。他在周五的 X 帖子中强调,钱包应用无法修复其底层操作系统的漏洞,自行管理私钥的用户仍须对设备安全负责。

他的警告源于安全研究员 Officer's Notes 的估计,后者称该漏洞已被用于窃取约 557 万美元的数字资产。所报告的损失与超过 18 个托管恶意代码的网站有关。

Officer's Notes 还报告称,该漏洞利用工具包在网上以约 3 万美元的价格出售。据报道,其中一个版本包含专门针对 imToken 钱包的模块。

据该研究员称,iOS 18.6.2 是 DarkSword 漏洞利用支持的最后一个版本——这一细节使人们的关注聚焦于尽管苹果已发布安全修复却仍未更新的设备。工具包代码中出现的对 iOS 26 和 iOS 27 的引用表明其开发者可能正准备针对更新的操作系统版本,但仅凭这些引用并不能证明针对这些版本的可用漏洞利用已经存在。

研究人员建议进行软件更新并采用更安全的钱包操作习惯

DarkSword 并非唯一一起涉及加密货币用户的 iOS 安全问题。9 月,苹果修复了其 CoreGraphics 图形引擎中的一个漏洞,公司承认该漏洞可能已在针对特定个人的复杂攻击中被利用。此外,SlowMist 和 OKX 的安全研究人员此前在 FomoPeek 应用中发现了恶意代码,该代码可在 iOS 上访问超出应用正常权限的信息。这些事件共同将注意力引向钱包应用之下的设备层——也正是 CZ 在警告中特别指出的层面。

研究人员的建议包括通过“设置”、“通用”和“软件更新”安装最新的 iOS 更新,并避免将钱包助记词存储在备忘录、照片或截图中,因为在受感染设备上运行的恶意软件可能能够访问这些内容。对通过 Telegram 群组和私信分享的链接应保持谨慎,尤其是指向不熟悉网站时——所报告的伪造 Polymarket 页面表明,仅仅加载一个恶意网页就可能使未打补丁的设备暴露于风险之中。

对于认为自己的手机已被入侵的用户,来源资料中的建议是在一台已更新的设备上创建新钱包并转移剩余资金。旧的助记词不应再被复用。

DarkSword 的相关报告凸显了在联网智能手机上保存钱包凭据的安全风险。更新操作系统、保护助记词并对重要资产使用硬件存储,可以降低针对设备本身(而非钱包应用的交易流程)的攻击所带来的暴露风险。后续值得关注的进展包括 CertiK、iVerify 和 Google 的进一步公告,以及工具包中对更新 iOS 版本的引用是否最终被确认为可用的漏洞利用。

来源:en.coinotag