Google TAG: iPhone‑Exploit‑Kit 'Coruna' stiehlt BIP39‑Seed‑Phrasen aus mobilen Wallets
Googles Threat Analysis Group (TAG) und Threat Intelligence Group (GTIG) haben „Coruna“ identifiziert, ein hochentwickeltes iOS-Exploit-Kit, das nun verwendet wird, um BIP39-Seed-Phrasen und andere Wallet-Daten von iPhones zu stehlen. Coruna bündelt 23 Schwachstellen in iOS 13.0–17.2.1, einschließlich Zero‑Days, und wurde erstmals im Februar 2025 beobachtet. Das Framework fingerprintet Besuchergeräte auf kompromittierten Glücksspiel- und Fake‑Exchange‑Seiten (Watering‑Hole‑Angriffe) und liefert maßgeschneiderte JavaScript‑Exploit‑Chains (WebKit RCE), die Mitigations umgehen, um Systemzugriff zu erlangen. Nach der Bereitstellung scannt das Kit nach Wallet‑Apps und Artefakten (MetaMask, BitKeep, Uniswap/DEX‑bezogene Apps, gecachte QR‑Codes, Notizen, Screenshots) und exfiltriert 12–24‑Wort‑Seed‑Phrasen zu verschlüsselten Command‑and‑Control‑Servern. Google führt die derzeit finanziell motivierte Welle auf UNC6691 zurück, das den Kit offenbar übernommen hat, nachdem er zuvor mutmaßlich von einem staatlich gesteuerten Akteur (UNC6353) genutzt wurde. Apple hat die ausgenutzten Fehler in iOS 17.3 und späteren Versionen gepatcht; TAG fordert dringende Updates oder die Aktivierung des Lockdown Mode für Geräte, die nicht aktualisiert werden können. Für Trader bedeutet der Angriff ein akutes Risiko für mobile Hot‑Wallets und Privatanwender: Empfohlene Gegenmaßnahmen sind ein Update auf iOS 17.3+, Aktivierung des Lockdown Mode falls ein Update nicht möglich ist, Entfernen von Seed‑Phrasen aus Notizen/Screenshots und das Verschieben größerer Beträge in Hardware‑Wallets, die eine physische Bestätigung erfordern. Der Bericht hebt einen Trend hervor: Hochwertige Zero‑Days, die einst für Spionage genutzt wurden, werden kommerzialisiert und für groß angelegte Krypto‑Diebstähle eingesetzt, was Phishing/Device‑Compromise‑Risiken erhöht und bei weitverbreiteter Ausnutzung kurzfristigen Verkaufsdruck erzeugen könnte.
Bearish
Coruna erhöht das direkte Risiko für Krypto‑Inhaber, die mobile Hot Wallets nutzen, indem es Seed‑Phrase‑Diebstahl durch Drive‑by‑Watering‑Hole‑Angriffe ermöglicht. Kurzfristig erhöht dies die Wahrscheinlichkeit für Intraday‑ oder schnelle Verkäufe betroffener Retail‑Nutzer, die den Zugang zu Geldern verlieren oder versuchen, Vermögenswerte in sicherere Verwahrung zu verschieben, und erzeugt lokalen Abwärtsdruck auf liquide Token, die häufig in mobilen Wallets gehalten werden (ERC‑20‑Token, größere Altcoins). Die unmittelbare Marktwirkung wird voraussichtlich konzentriert und vorübergehend sein: Ausgenutzte Nutzer werden verkaufen oder versuchen, Gelder abzuziehen, große institutionelle Inhaber sind weniger betroffen. Mittelfristig bis langfristig könnte weitverbreiteter Missbrauch das Vertrauen der Retail‑Nutzer in mobile Custody‑Lösungen untergraben, die Nachfrage nach Hardware‑Wallets und Verwahrdienstleistungen erhöhen und möglicherweise spekulative Zuflüsse in Small‑Cap‑Token verringern. Patches in iOS 17.3+ und klare Gegenmaßnahmen (Updates, Lockdown Mode, Hardware‑Wallets) reduzieren jedoch das Risiko eines anhaltenden Marktrückgangs. Insgesamt ist die Nachricht kurzfristig bärisch für die Kursentwicklung der Assets, die überwiegend in verwundbaren mobilen Wallets gehalten werden, während langfristige Effekte von der Einführung stärkerer Custody‑Praktiken abhängen.