Google TAG: kit eksploit iPhone 'Coruna' mencuri frase seed BIP39 dari dompet seluler
Threat Analysis Group (TAG) dan Threat Intelligence Group (GTIG) Google telah mengidentifikasi “Coruna,” sebuah kit eksploit iOS canggih yang kini digunakan untuk mencuri frasa seed BIP39 dan data dompet lainnya dari iPhone. Coruna menggabungkan 23 kerentanan di iOS 13.0–17.2.1, termasuk zero-day, dan pertama kali terlihat pada Februari 2025. Kerangka kerja ini melakukan fingerprint perangkat pengunjung di situs perjudian dan situs penukaran palsu yang dikompromikan (serangan watering‑hole) dan mengirimkan rantai eksploit JavaScript yang disesuaikan (WebKit RCE) yang melewati mitigasi untuk mendapatkan akses tingkat sistem. Setelah dikerahkan, kit ini memindai aplikasi dompet dan artefak (MetaMask, BitKeep, aplikasi terkait Uniswap/DEX, kode QR yang di-cache, catatan, tangkapan layar) dan mengekstrak frasa seed 12–24 kata ke server command-and-control terenkripsi. Google melacak gelombang bermotif finansial saat ini ke UNC6691, yang tampaknya memperoleh kit setelah penggunaan yang diduga sebelumnya oleh aktor negara (UNC6353). Apple menambal kerentanan yang dieksploitasi di iOS 17.3 dan versi yang lebih baru; TAG mendesak pembaruan segera atau mengaktifkan Lockdown Mode untuk perangkat yang tidak bisa ditingkatkan. Bagi pedagang, serangan ini meningkatkan risiko akut terhadap hot wallet mobile dan pengguna ritel: mitigasi yang disarankan termasuk memperbarui ke iOS 17.3+, mengaktifkan Lockdown Mode jika tidak bisa memperbarui, menghapus frasa seed dari catatan/tangkapan layar, dan memindahkan dana signifikan ke dompet perangkat keras yang memerlukan konfirmasi fisik. Laporan menyoroti tren: zero-day kelas atas yang dulu digunakan untuk spionase kini dikomersialisasi untuk pencurian kripto berskala besar, meningkatkan risiko phishing/kompromi perangkat dan potensi tekanan jual jangka pendek jika eksploitasi menjadi luas.
Bearish
Coruna meningkatkan risiko langsung bagi pemegang kripto yang menggunakan dompet panas seluler dengan memungkinkan pencurian frase seed melalui serangan watering‑hole drive-by. Dalam jangka pendek ini meningkatkan kemungkinan penjualan intraday atau penjualan cepat oleh pengguna ritel yang terdampak yang kehilangan akses ke dana atau berupaya memindahkan aset ke penyimpanan yang lebih aman, menciptakan tekanan turun terlokalisir pada token likuid yang umum disimpan di dompet seluler (token ERC‑20, altcoin utama). Dampak pasar langsung kemungkinan terkonsentrasi dan bersifat sementara: pengguna yang dieksploitasi akan menjual atau mencoba menarik dana, tetapi pemegang institusional besar kurang terpengaruh. Dalam jangka menengah hingga panjang, eksploitasi yang meluas dapat menggerogoti kepercayaan ritel pada solusi kustodi seluler, meningkatkan permintaan untuk dompet perangkat keras dan layanan kustodian dan kemungkinan mengurangi aliran spekulatif ke token berkapitalisasi kecil. Namun, patch di iOS 17.3+ dan langkah mitigasi yang jelas (pembaruan, Lockdown Mode, dompet perangkat keras) mengurangi risiko penurunan pasar yang persisten. Secara keseluruhan, berita ini bearish untuk aksi harga jangka pendek di antara aset yang paling banyak disimpan di dompet seluler yang rentan, sementara efek jangka panjang bergantung pada adopsi praktik kustodi yang lebih kuat.