Google TAG: kit de exploit pentru iPhone 'Coruna' fură fraze seed BIP39 din portofele mobile
Threat Analysis Group (TAG) și Threat Intelligence Group (GTIG) de la Google au identificat „Coruna”, un kit de exploatare iOS sofisticat folosit acum pentru a fura fraze seed BIP39 și alte date de portofel de pe iPhone-uri. Coruna grupează 23 de vulnerabilități în iOS 13.0–17.2.1, incluzând zero‑day, și a fost observat prima dată în februarie 2025. Framework‑ul identifică dispozitivele vizitatorilor pe site‑uri compromise de pariuri și exchange‑uri false (atacuri watering‑hole) și livrează lanțuri de exploatare JavaScript personalizate (RCE WebKit) care ocolesc mitigări pentru a obține acces la nivel de sistem. Odată desfășurat, kitul scanează aplicațiile și artefactele wallet‑urilor (MetaMask, BitKeep, aplicații legate de Uniswap/DEX, coduri QR în cache, note, capturi de ecran) și exfiltrează fraze seed de 12–24 cuvinte către servere C2 criptate. Google urmărește valul actual cu motivație financiară până la UNC6691, care pare să fi achiziționat kitul după o utilizare anterioară suspectată a fi fost de stat (UNC6353). Apple a remediat breșele exploatate în iOS 17.3 și versiunile ulterioare; TAG îndeamnă la actualizare imediată sau la activarea Lockdown Mode pentru dispozitivele care nu pot fi actualizate. Pentru traderi, atacul ridică un risc acut pentru hot wallet‑urile mobile și utilizatorii retail: măsurile recomandate includ actualizarea la iOS 17.3+, activarea Lockdown Mode dacă nu se poate actualiza, eliminarea frazelor seed din note/capturi de ecran și mutarea sumelor semnificative în hardware wallet‑uri care necesită confirmare fizică. Raportul subliniază o tendință: zero‑day‑urile de nivel înalt folosite anterior pentru spionaj sunt comercializate pentru furturi de criptomonede la scară largă, crescând riscul de phishing/compromitere a dispozitivelor și potențiala presiune de vânzare pe termen scurt dacă exploatarea devine larg răspândită.
Bearish
Coruna crește riscul direct pentru deținătorii de criptomonede care folosesc portofele mobile „hot” prin permiterea furtului frazei seed prin atacuri drive‑by de tip watering‑hole. Pe termen scurt, acest lucru ridică probabilitatea de vânzări intrazonă sau rapide de către utilizatorii retail afectați care își pierd accesul la fonduri sau încearcă să mute activele către depozitare mai sigură, creând o presiune descendentă localizată asupra tokenurilor lichide deținute frecvent în portofele mobile (tokenuri ERC‑20, altcoinuri majore). Impactul imediat asupra pieței este probabil concentrat și tranzitoriu: utilizatorii exploatați vor vinde sau vor încerca să retragă fondurile, dar deținătorii instituționali mari sunt mai puțin afectați. Pe termen mediu‑lung, exploatarea pe scară largă ar putea eroda încrederea retail în soluțiile de custodie mobilă, crescând cererea pentru portofele hardware și servicii de custodie și posibil reducând fluxurile speculative către tokenuri cu capitalizare mai mică. Totuși, patch‑urile din iOS 17.3+ și pașii clari de atenuare (actualizări, Lockdown Mode, portofele hardware) reduc riscul unei scăderi persistente a pieței. În ansamblu, știrea este bearish pentru evoluția prețurilor pe termen scurt a activelor cel mai des deținute în portofele mobile vulnerabile, iar efectele pe termen lung depind de adoptarea unor practici de custodie mai solide.