資安公司 CertiK 警告，一個被追蹤命名為 DarkSword 的 iPhone 漏洞利用，可以在無需用戶批准任何交易的情況下提取加密錢包資料。CertiK 在 11 月 6 日於 X 上發布的警報中表示，該漏洞利用可攻擊多款廣泛使用的加密應用程式——包括 MetaMask、Trust Wallet、Phantom、Exodus 和 Coinbase——還可能蒐集儲存在受感染裝置其他位置的密碼與恢復短語。恢復短語是能夠恢復自託管錢包完整存取權限的詞序。

該警報描述的風險有別於傳統的錢包清空攻擊模式，後者通常依賴受害者簽署惡意交易或授權存取其錢包。據報導，DarkSword 針對的是 iPhone 作業系統本身的弱點，可能讓攻擊者直接從受入侵裝置中存取敏感資訊。對自託管用戶而言，這個區別至關重要，因為標準防護措施——在錢包應用程式內審核並批准每筆交易——在資料直接從作業系統被竊取時無法發揮任何把關作用。

DarkSword 利用六個 iOS 漏洞

Google 威脅情報團隊在 3 月 18 日發布的報告中記錄了這條攻擊鏈。研究人員描述了六個影響 iOS 18.4 至 18.7 版本的漏洞，這些漏洞可被組合利用以入侵易受攻擊的裝置。

在成功利用漏洞後，Google 識別出三個被部署的惡意軟體家族：GHOSTBLADE、GHOSTKNIFE 和 GHOSTSABER。其功能包括蒐集加密貨幣錢包資訊、裝置鑰匙圈資料、備忘錄資料庫、瀏覽器紀錄與個人媒體檔案。鑰匙圈是蘋果內建的密碼與其他憑證儲存庫。

Google 也觀察到針對沙烏地阿拉伯、土耳其、馬來西亞和烏克蘭用戶的攻擊活動，最早可追溯至 2025 年 11 月。

蘋果已透過安全性更新修補這些漏洞，完整的修復於 iOS 26.3 發布時提供。由於大部分修補程式早已推出，過時的作業系統成為此次曝光風險的核心因素。

DarkSword 新變種擴大威脅

該漏洞利用套件持續演進。行動資安公司 iVerify 在 10 月 8 日發布的報告中揭露了 DarkSword 的 P7 變種，此前該公司於 8 月調查了在客戶裝置上發現的一起感染事件。

根據 iVerify 的說法，該植入程式預設每 15 秒聯繫一次其命令伺服器。它在將資料傳送給操作者之前會在本機處理鑰匙圈資訊，並包含一個專用命令，用於識別已安裝的錢包應用程式並從 imToken 中提取資訊。

其傳播方式也受到關注。iVerify 與 Report URI 在 10 月 21 日發布的另一項調查，追蹤到 DarkSword 透過惡意廣告散播。據報導，其中一場攻擊活動利用了一則世界盃主題的 Instagram 廣告，一名員工僅在瀏覽平台時裝置即遭感染。

研究人員還發現了一個名為 DeadTag 的攻擊活動，建立在數百個重新註冊的分析網域之上。與這些網域相關的網路估計每月接收約 1.35 億次造訪。另一種傳播方式涉及一個假的 Polymarket 網頁，該網頁會投放兩個 DarkSword 變種——據報導，易受攻擊的裝置在網頁載入時即可能自動感染。

CertiK 建議使用硬體錢包保護重要的加密貨幣資產，並建議面臨較高資安風險的人士啟用蘋果的鎖定模式。硬體錢包將私鑰保存在專用的實體裝置上，而非連網手機中；鎖定模式則是蘋果於 2022 年推出的可選設定，會限制裝置功能，適用於被認為面臨針對性威脅的用戶。

損失報導達 557 萬美元後，CZ 呼籲 iPhone 用戶立即更新

幣安聯合創辦人趙長鵬也發聲，敦促 iPhone 用戶立即更新作業系統。他在週五於 X 上發文強調，錢包應用程式無法修復其底層作業系統的漏洞，自行管理私鑰的用戶仍有責任保護自己的裝置。

他的警告是在資安研究員 Officer's Notes 估算之後發出，後者表示透過該漏洞被竊的數位資產已約達 557 萬美元。據報導，這些損失與超過 18 個托管惡意程式碼的網站有關。

Officer's Notes 還報導，該漏洞利用套件在網路上以約 3 萬美元的價格出售。據稱其中一個版本包含專門針對 imToken 錢包的模組。

根據這位研究員的說法，iOS 18.6.2 是 DarkSword 漏洞利用支援的最後一個版本——這一細節使得那些儘管蘋果已推出安全修復卻仍未更新的裝置受到特別關注。套件程式碼中發現的 iOS 26 與 iOS 27 參照，暗示其開發者可能正準備攻擊更新的作業系統版本，但這些參照本身並不能證明針對這些版本的有效漏洞利用已經問世。

研究人員建議更新軟體並採取更安全的錢包做法

DarkSword 並非唯一一起涉及加密貨幣用戶的 iOS 安全問題。9 月，蘋果修復了其 CoreGraphics 圖形引擎中的一個漏洞，公司承認該漏洞可能已在針對特定人士的複雜攻擊中被利用。另外，SlowMist 與 OKX 的資安研究員此前在 FomoPeek 應用程式中發現惡意程式碼，可存取超出該應用程式在 iOS 上正常權限的資訊。這些事件共同將注意力引向錢包應用程式底層的裝置層——也正是趙長鵬在其警告中特別指出的那一層。

研究人員提出的資安建議包括透過「設定」>「一般」>「軟體更新」安裝最新的 iOS 更新，並避免將錢包恢復短語儲存在備忘錄、照片或螢幕截圖中，因為在受入侵裝置上運作的惡意軟體可能存取到這些資訊。透過 Telegram 群組與私人訊息分享的連結應謹慎對待，尤其是指向不熟悉網站的連結——據報導的假 Polymarket 網頁顯示，僅僅載入一個惡意網頁就可能使未修補的裝置暴露於風險之中。

對於認為手機已遭入侵的用戶，原始資料中描述的指引是在一部已更新的裝置上建立新錢包，並轉移剩餘資金。舊的恢復短語不應再使用。

DarkSword 的相關報告凸顯了將錢包憑證保存在連網智慧型手機上的資安風險。更新作業系統、保護恢復短語，以及對重要資產使用硬體儲存，可以降低針對裝置本身而非錢包應用程式交易流程的攻擊所帶來的風險。後續值得關注的動態包括 CertiK、iVerify 與 Google 的進一步警報，以及該套件中對新版 iOS 的參照是否最終被證實為可用的漏洞利用。

資料來源：en.coinotag