Google TAG: kit de explotación para iPhone 'Coruna' roba frases semilla BIP39 de monederos móviles
El Grupo de Análisis de Amenazas (TAG) y el Grupo de Inteligencia de Amenazas (GTIG) de Google han identificado “Coruna”, un sofisticado kit de exploits para iOS que ahora se utiliza para robar frases semilla BIP39 y otros datos de carteras desde iPhones. Coruna agrupa 23 vulnerabilidades en iOS 13.0–17.2.1, incluidos días cero, y se observó por primera vez en febrero de 2025. El marco identifica los dispositivos visitantes en sitios comprometidos de juego y falsos exchanges (ataques de tipo watering‑hole) y entrega cadenas de exploits JavaScript a medida (RCE de WebKit) que evaden las mitigaciones para obtener acceso a nivel de sistema. Una vez desplegado, el kit busca aplicaciones y artefactos de carteras (MetaMask, BitKeep, aplicaciones relacionadas con Uniswap/DEX, códigos QR en caché, notas, capturas de pantalla) y exfiltra frases semilla de 12–24 palabras a servidores cifrados de comando y control. Google rastrea la ola con motivación financiera actual hasta UNC6691, que parece haber adquirido el kit tras un uso anterior presuntamente estatal (UNC6353). Apple parcheó las fallas explotadas en iOS 17.3 y posteriores; TAG insta a actualizar de inmediato o a habilitar el Modo de Bloqueo en dispositivos que no puedan actualizarse. Para los traders, el ataque implica un riesgo agudo para las hot wallets móviles y usuarios minoristas: las medidas recomendadas incluyen actualizar a iOS 17.3+, activar el Modo de Bloqueo si no es posible actualizar, eliminar frases semilla de notas/capturas de pantalla y mover fondos significativos a carteras hardware que requieran confirmación física. El informe destaca una tendencia: los días cero de alto nivel que antes se usaban para espionaje se están mercantilizando para el robo masivo de criptomonedas, aumentando el riesgo de phishing/compromiso de dispositivos y la posibilidad de presión de venta a corto plazo si la explotación se extiende ampliamente.
Bearish
Coruna aumenta el riesgo directo para los titulares de criptomonedas que utilizan wallets móviles calientes al permitir el robo de frases semilla mediante ataques drive-by de tipo watering‑hole. A corto plazo, esto incrementa la probabilidad de ventas intradía o rápidas por parte de usuarios minoristas afectados que pierden acceso a sus fondos o buscan mover activos a un almacenamiento más seguro, creando presión bajista localizada sobre tokens líquidos comúnmente guardados en wallets móviles (tokens ERC‑20, altcoins principales). El impacto inmediato en el mercado probablemente sea concentrado y transitorio: los usuarios explotados venderán o intentarán retirar fondos, pero los grandes tenedores institucionales se ven menos afectados. A medio y largo plazo, una explotación generalizada podría erosionar la confianza minorista en las soluciones de custodia móvil, aumentando la demanda de hardware wallets y servicios de custodia y posiblemente reduciendo los flujos especulativos hacia tokens de menor capitalización. Sin embargo, los parches en iOS 17.3+ y pasos de mitigación claros (actualizaciones, Modo de Bloqueo, hardware wallets) reducen el riesgo de una caída persistente del mercado. En general, la noticia es bajista para la evolución de precios a corto plazo entre los activos más mantenidos en wallets móviles vulnerables, mientras que los efectos a más largo plazo dependen de la adopción de prácticas de custodia más robustas.