幣安創辦人趙長鵬（Changpeng Zhao，CZ）向加密貨幣持有者發出緊急警告：立即更新你的 iPhone。他指出，錢包可以保障加密資產安全，卻無法保障其底層的作業系統。用他的話說，自我託管是一種責任——而這份責任包括確保裝置本身的安全。

這一警告發出的同時，DarkSword——一條 iOS 攻擊鏈——再度困擾安全研究人員，並從加密錢包中盜取資金。這不是某個特定錢包的問題，也不是單一錢包軟體的缺陷；問題出在其底層。當作業系統被入侵時，錢包軟體所提供的保護就可能被繞過。

事件經過——以及 CZ 為何呼籲所有人更新

DarkSword 由 Google 威脅情報集團（Google Threat Intelligence Group）、Lookout 與 iVerify 於 3 月公開發布。研究人員詳述了六個 iOS 安全漏洞，能夠避開 Safari 沙盒——即將網頁內容與裝置其餘部分隔離的安全邊界——並突破沙盒以取得更高權限，詳見 Google 威脅情報報告。攻擊在受害者於 Safari 中開啟惡意網頁時即啟動——無需連接錢包，也無需交易簽名。這正是它與大多數錢包盜刷騙局的不同之處：後者依賴使用者批准惡意交易，而在這裡，僅僅開啟網頁就足夠了。

一旦突破沙盒，攻擊便可能洩露密碼、檔案，某些情況下甚至私鑰或助記詞，正如路透社（Reuters）報導所言，凸顯了 iOS 安全的風險程度。與該攻擊相關的數據顯示，超過 20 個錢包共損失 557 萬美元，並識別出至少 18 個惡意網站（Lookonchain）。

CZ 呼籲 iOS 使用者——尤其是尚未安裝修補版本的使用者——更新系統以恢復裝置安全。他表示，沒有任何錢包應用程式能替你更新作業系統，而在自我託管的世界裡，沒有客服可以幫你回滾交易或找回遺失的助記詞。

Update your iOS, especially if you haven't updated in a while. No wallet software can update your OS. Self-custody means self responsibility.

— CZ 🔶 BNB (@cz_binance) November 6, 2026

為何 iOS 安全對加密貨幣至關重要

加密安全通常圍繞智慧型合約、交易所、跨鏈橋與私鑰討論——裝置安全卻鮮少被提及，儘管大多數散戶使用者是透過行動裝置接觸加密貨幣。行動錢包的安全性，取決於其底層的作業系統、瀏覽器與硬體。

多年來，iOS 安全被認為十分堅固，因為 Apple 同時掌控硬體、軟體與 App Store。但這種聲譽可能滋生自滿：使用者可能略過更新，或讓老舊裝置繼續服役，同時用於瀏覽、訊息、銀行業務與加密貨幣。DarkSword 徹底顛覆了這一假設——只要已知漏洞存在，一個受感染的網頁就足以成為入侵入口。

責任並不只落在某一個錢包供應商身上。研究人員在運行 iOS 18.4 至 18.7 版本的裝置上識別出該攻擊，新聞報導則指出潛在受影響的目標包括 Trust Wallet、MetaMask、Phantom、Coinbase 與 Exodus。更換錢包並無法修補未更新的作業系統，因為真正的問題存在於應用層之下的 iOS 安全本身。

更新、加固與保護

據 Malwarebytes 報導，Apple 之後已修補 DarkSword 攻擊鏈所利用的漏洞。修復透過 iOS 18.6、18.7.2 與 18.7.3，以及 iOS 26.1 和 26.3 發布，其中 26.3 已包含全部六項已修正的漏洞。（從 18 跳到 26 的版本號反映了 Apple 自 2025 年起改用以年份為基礎的版本命名。）未安裝這些修復的裝置仍然暴露在已知的攻擊鏈之下。更新步驟很簡單：進入「設定」，然後「一般」，再點選「軟體更新」——同時避免點擊來路不明帳號傳來的連結。

使用者也應重新考慮助記詞的存放位置。助記詞不應存放在「備忘錄」、「照片」截圖、雲端備份或通訊軟體中：能存取裝置的攻擊者可以以純文字形式讀取其中儲存的所有內容。持有大額資產的使用者，可透過硬體錢包或 Apple 的「鎖定模式」（Lockdown Mode，一種為可能遭精密攻擊鎖定的使用者設計的選用強化模式）來縮小部分攻擊面。

若懷疑裝置已被入侵，使用者可在一台乾淨的裝置上建立全新錢包，轉移資金，並棄用舊助記詞。更新能保護裝置免受未來攻擊，卻無法挽救早已暴露的助記詞——從同一組助記詞生成新地址並不足夠，因為主金鑰已然外洩。在自我託管中，更新 iOS 不僅是良好的裝置維護，更是良好的加密資產衛生習慣。