Google TAG: zestaw exploitów na iPhone'a 'Coruna' kradnie frazy seed BIP39 z portfeli mobilnych
Grupa Analizy Zagrożeń (TAG) i Grupa Wywiadu Zagrożeń (GTIG) Google zidentyfikowały „Coruna” — zaawansowany zestaw exploitów dla iOS, obecnie wykorzystywany do kradzieży fraz seed BIP39 i innych danych portfeli z iPhone’ów. Coruna łączy 23 podatności w iOS 13.0–17.2.1, w tym zero‑day, i po raz pierwszy zaobserwowano ją w lutym 2025 r. Framework identyfikuje urządzenia odwiedzających na zainfekowanych stronach hazardowych i fałszywych giełdach (atak watering‑hole) i dostarcza dopasowane łańcuchy exploitów JavaScript (RCE WebKit), które omijają mechanizmy ochronne, by uzyskać dostęp na poziomie systemu. Po wdrożeniu zestaw skanuje aplikacje portfeli i artefakty (MetaMask, BitKeep, aplikacje związane z Uniswap/DEX, zbuforowane kody QR, notatki, zrzuty ekranu) i eksfiltruje 12–24‑wyrazowe frazy seed na zaszyfrowane serwery dowodzenia i kontroli. Google śledzi obecną falę o motywacji finansowej do UNC6691, które najwyraźniej nabyło zestaw po wcześniejszym, przypuszczalnie państwowym wykorzystaniu (UNC6353). Apple załatało wykorzystywane luki w iOS 17.3 i nowszych; TAG wzywa do natychmiastowej aktualizacji lub włączenia Lockdown Mode na urządzeniach, których nie można zaktualizować. Dla traderów atak zwiększa ostre ryzyko dla mobilnych hot walletów i użytkowników detalicznych: zalecane środki to aktualizacja do iOS 17.3+, włączenie Lockdown Mode jeśli aktualizacja niemożliwa, usunięcie fraz seed z notatek/zrzutów ekranu oraz przeniesienie istotnych środków do portfeli sprzętowych wymagających potwierdzenia fizycznego. Raport podkreśla trend: wysokiej klasy zero‑day wykorzystywane dawniej do szpiegostwa są komodyfikowane do masowej kradzieży kryptowalut, co zwiększa ryzyko phishingu/przejęcia urządzeń i potencjalną krótkoterminową presję sprzedażową, jeśli wykorzystywanie stanie się powszechne.
Bearish
Coruna zwiększa bezpośrednie ryzyko dla posiadaczy kryptowalut korzystających z mobilnych hot walletów, umożliwiając kradzież fraz seed poprzez ataki typu drive‑by watering‑hole. W krótkim terminie zwiększa to prawdopodobieństwo sprzedaży w ciągu dnia lub szybkich wyprzedaży przez dotkniętych użytkowników detalicznych, którzy tracą dostęp do środków lub starają się przenieść aktywa do bezpieczniejszego przechowywania, tworząc lokalną presję spadkową na płynne tokeny często przechowywane w portfelach mobilnych (tokeny ERC‑20, główne altcoiny). Natychmiastowy wpływ na rynek prawdopodobnie będzie skoncentrowany i przejściowy: wykorzystani użytkownicy będą sprzedawać lub próbować wypłacić środki, ale duzi posiadacze instytucjonalni są mniej dotknięci. W średnim i długim terminie szeroko zakrojone wykorzystanie może nadwątlić zaufanie detaliczne do mobilnych rozwiązań custody, zwiększając popyt na hardware wallety i usługi powiernicze oraz potencjalnie zmniejszając przepływy spekulacyjne do tokenów o mniejszej kapitalizacji. Jednak poprawki w iOS 17.3+ i jasne kroki łagodzące (aktualizacje, Lockdown Mode, hardware wallety) zmniejszają ryzyko utrzymującego się spadku rynku. Ogólnie wiadomość ma charakter niedźwiedzi dla krótkoterminowego ruchu cenowego aktywów najczęściej przechowywanych w podatnych mobilnych walletach, podczas gdy efekty długoterminowe zależą od przyjęcia silniejszych praktyk custody.