Google TAG: iPhone-exploitkit 'Coruna' steelt BIP39-seedzinnen uit mobiele wallets
Google’s Threat Analysis Group (TAG) en Threat Intelligence Group (GTIG) hebben “Coruna” geïdentificeerd, een geavanceerd iOS‑exploitkit dat nu wordt gebruikt om BIP39‑seedwoorden en andere walletgegevens van iPhones te stelen. Coruna bundelt 23 kwetsbaarheden in iOS 13.0–17.2.1, inclusief zero‑days, en werd voor het eerst gezien in februari 2025. Het framework maakt een fingerprint van bezochte apparaten op gecompromitteerde goksites en valse exchanges (watering‑hole‑aanvallen) en levert op maat gemaakte JavaScript‑exploitketens (WebKit RCE) die mitigaties omzeilen om systeemniveau‑toegang te verkrijgen. Eenmaal ingezet scant de kit wallet‑apps en artefacten (MetaMask, BitKeep, Uniswap/DEX‑gerelateerde apps, gecachte QR‑codes, notities, screenshots) en exfiltreert 12–24 woorden seed‑zinnen naar versleutelde command‑and‑control‑servers. Google traceert de huidige financieel gemotiveerde golf naar UNC6691, dat het kit lijkt te hebben verworven na eerder vermoedelijk staatsgebruik (UNC6353). Apple heeft de gebruikte fouten gepatcht in iOS 17.3 en later; TAG dringt aan op directe updates of het inschakelen van Lockdown Mode voor apparaten die niet kunnen upgraden. Voor handelaren betekent de aanval een acuut risico voor mobiele hot wallets en retailgebruikers: aanbevolen mitigaties zijn updaten naar iOS 17.3+, Lockdown Mode inschakelen als updaten niet mogelijk is, seed‑zinnen verwijderen uit notities/screenshots en grote bedragen verplaatsen naar hardware wallets die fysieke bevestiging vereisen. Het rapport benadrukt een trend: hoogprofiel zero‑days die eerder voor spionage werden gebruikt worden vercommercialiseerd voor grootschalige crypto‑diefstal, wat het risico op phishing/compromittering van apparaten vergroot en kan leiden tot kortlopende verkoopdruk als de exploitatie wijdverbreid raakt.
Bearish
Coruna vergroot het directe risico voor crypto‑houders die mobiele hot wallets gebruiken door het mogelijk te maken seed‑phrase diefstal via drive‑by watering‑hole aanvallen. Op korte termijn vergroot dit de kans op intraday of snelle verkopen door getroffen retailgebruikers die de toegang tot hun fondsen verliezen of hun assets naar veiliger opslag willen verplaatsen, wat lokale neerwaartse druk creëert op liquide tokens die vaak in mobiele wallets worden gehouden (ERC‑20 tokens, grote altcoins). De directe markteffecten zullen waarschijnlijk geconcentreerd en van voorbijgaande aard zijn: geëxploiteerde gebruikers zullen verkopen of proberen fondsen op te nemen, maar grote institutionele houders worden minder geraakt. Op middellange tot lange termijn kan wijdversprekte exploitatie het vertrouwen van retail in mobiele custody‑oplossingen ondermijnen, de vraag naar hardware wallets en custodial diensten doen toenemen en mogelijk speculatieve stromen naar kleinere tokens verminderen. Patches in iOS 17.3+ en duidelijke mitigatiestappen (updates, Lockdown Mode, hardware wallets) verminderen echter het risico op een aanhoudende marktdecline. Over het geheel genomen is het nieuws bearish voor de kortetermijnprijsontwikkeling van activa die het meest in kwetsbare mobiele wallets worden gehouden, terwijl de langetermijneffecten afhangen van de adoptie van sterkere custody‑praktijken.