Google TAG: kit de exploração para iPhone 'Coruna' rouba frases seed BIP39 de carteiras móveis
O Threat Analysis Group (TAG) e o Threat Intelligence Group (GTIG) do Google identificaram “Coruna”, um sofisticado kit de exploração para iOS agora usado para roubar frases seed BIP39 e outros dados de carteiras de iPhones. Coruna agrupa 23 vulnerabilidades no iOS 13.0–17.2.1, incluindo zero‑days, e foi observado pela primeira vez em fevereiro de 2025. A estrutura fingerprinta dispositivos visitantes em sites comprometidos de apostas e falsos exchanges (ataques watering‑hole) e entrega cadeias de exploit JavaScript sob medida (RCE do WebKit) que contornam mitigações para obter acesso em nível de sistema. Uma vez implantado, o kit escaneia por apps de carteira e artefatos (MetaMask, BitKeep, apps relacionados a Uniswap/DEX, QR codes em cache, notas, capturas de tela) e exfiltra frases seed de 12–24 palavras para servidores de comando e controle criptografados. O Google rastreia a atual onda de motivação financeira até UNC6691, que aparenta ter adquirido o kit após um uso anterior supostamente por estado (UNC6353). A Apple corrigiu as falhas exploradas no iOS 17.3 e posteriores; o TAG recomenda atualizações imediatas ou ativar o Lockdown Mode em dispositivos que não possam atualizar. Para traders, o ataque aumenta o risco para hot wallets móveis e usuários de varejo: as mitigações recomendadas incluem atualizar para iOS 17.3+, ativar o Lockdown Mode se não for possível atualizar, remover frases seed de notas/capturas de tela e mover fundos significativos para carteiras de hardware que exigem confirmação física. O relatório destaca uma tendência: zero‑days de alto nível antes usados para espionagem estão sendo mercantilizados para roubos em larga escala de cripto, aumentando o risco de phishing/comprometimento de dispositivos e a potencial pressão de venda no curto prazo caso a exploração se torne disseminada.
Bearish
Coruna aumenta o risco direto para detentores de cripto que usam carteiras móveis quentes ao possibilitar o roubo da frase-semente por meio de ataques drive-by do tipo watering‑hole. No curto prazo, isso eleva a probabilidade de vendas intradiárias ou rápidas por parte de usuários de varejo afetados que perdem acesso aos fundos ou buscam mover ativos para armazenamento mais seguro, criando pressão vendedora localizada sobre tokens líquidos comumente mantidos em carteiras móveis (tokens ERC‑20, principais altcoins). O impacto imediato no mercado provavelmente será concentrado e transitório: usuários explorados venderão ou tentarão retirar fundos, mas grandes detentores institucionais são menos afetados. No médio e longo prazo, exploração generalizada poderia corroer a confiança do varejo em soluções de custódia móvel, aumentando a demanda por hardware wallets e serviços de custódia e possivelmente reduzindo fluxos especulativos para tokens de menor capitalização. Entretanto, patches no iOS 17.3+ e passos claros de mitigação (atualizações, Lockdown Mode, hardware wallets) reduzem o risco de queda persistente do mercado. No geral, a notícia é negativa para a ação de preço de curto prazo entre ativos mais mantidos em carteiras móveis vulneráveis, enquanto os efeitos de longo prazo dependem da adoção de práticas de custódia mais fortes.