Google TAG: iPhone‑hyökkäyspaketti 'Coruna' varastaa BIP39‑siemenlausekkeita mobiililompakoista
Googlein Threat Analysis Group (TAG) ja Threat Intelligence Group (GTIG) ovat tunnistaneet “Coruna”-nimisen kehittyneen iOS‑exploit‑paketin, jota nyt käytetään BIP39‑seed‑lausekkeiden ja muiden lompakkotietojen varastamiseen iPhoneista. Coruna sisältää 23 haavoittuvuutta iOS‑versioissa 13.0–17.2.1, mukaan lukien zero‑day‑haavoittuvuuksia, ja havaittiin ensimmäisen kerran helmikuussa 2025. Kehys tunnistaa vierailijoiden laitteet kompromettoiduilla uhkapeli‑ ja väärennetyillä pörssisivuilla (watering‑hole‑hyökkäykset) ja toimittaa räätälöityjä JavaScript‑exploit‑ketjuja (WebKit RCE), jotka ohittavat suojaukset ja saavuttavat järjestelmätason pääsyn. Kun se on otettu käyttöön, paketti skannaa lompakkosovellukset ja artefaktit (MetaMask, BitKeep, Uniswap/DEX‑liittyvät sovellukset, välimuistiin tallennetut QR‑koodit, muistiinpanot, kuvakaappaukset) ja eksfiltroi 12–24 sanan seed‑lausekkeet salattuihin komentokontrollipalvelimiin. Google jäljittää nykyisen rahallisesti motivoituneen aallon UNC6691:een, joka näyttää hankkineen paketin aiemman oletetun valtiollisen käytön (UNC6353) jälkeen. Apple korjasi hyödynnetyt haavoittuvuudet iOS 17.3:ssa ja sitä uudemmissa; TAG kehottaa päivittämään välittömästi tai ottamaan Lockdown Moden käyttöön laitteissa, joita ei voi päivittää. Treidaajille hyökkäys aiheuttaa akuutin riskin mobiileille hot‑walleteille ja vähittäiskäyttäjille: suositellut toimenpiteet ovat päivittää iOS 17.3+:aan, ottaa Lockdown Mode käyttöön jos päivitys ei ole mahdollinen, poistaa seed‑lausekkeet muistiinpanoista/kuvakaappauksista ja siirtää merkittävät varat laitteistolompakoihin, jotka vaativat fyysisen vahvistuksen. Raportti korostaa trendiä: aiemmin vakoilussa käytetyt huippuluokan zero‑dayt muuttuvat tavaroiksi laajamittaista kryptovarkautta varten, mikä lisää phishingin/laitteiden kaappaamisen riskiä ja voi aiheuttaa lyhytaikaista myyntipainetta, jos hyväksikäyttö yleistyy.
Bearish
Coruna lisää suoran riskin kryptonomistajille, jotka käyttävät mobiileja hot‑lompakoita, mahdollistamalla siemenlauseen (seed phrase) varkauden drive‑by watering‑hole ‑hyökkäysten kautta. Lyhyellä aikavälillä tämä kasvattaa todennäköisyyttä, että vaikutuksille alttiit vähittäiskäyttäjät myyvät päivän sisällä tai nopeasti menettäessään pääsyn varoihin tai pyrkiessään siirtämään varoja turvallisempaan säilytykseen, mikä luo paikallista laskupainetta mobiililompakoissa usein pidetyille likvideille tokeneille (ERC‑20‑tokenit, suurimmat altcoinit). Välitön markkinavaikutus on todennäköisesti keskittynyt ja ohimenevä: hyödynnetyt käyttäjät myyvät tai yrittävät nostaa varoja, mutta suuret institutionaaliset omistajat kärsivät vähemmän. Keskipitkällä ja pitkällä aikavälillä laajamittainen hyväksikäyttö voisi heikentää vähittäissijoittajien luottamusta mobiileihin säilytysratkaisuihin, lisätä kysyntää laitteistolompakoille ja säilytyspalveluille sekä mahdollisesti vähentää spekulatiivisia virtoja pienempien markkina‑arvon tokenien suuntaan. iOS 17.3+ ‑päivitykset ja selkeät lieventämistoimet (päivitykset, Lockdown Mode, laitteistolompakot) kuitenkin vähentävät pysyvän markkinalaskun riskiä. Kaiken kaikkiaan uutinen on laskusignaali lyhyen aikavälin hintakehitykselle niiden omaisuuserien joukossa, joita eniten pidetään haavoittuvissa mobiililompakoissa, kun taas pidemmän aikavälin vaikutukset riippuvat vahvempien säilytyskäytäntöjen käyttöönotosta.