Google TAG: эксплойт‑набор для iPhone «Coruna» крадет BIP39 seed-фразы из мобильных кошельков
Группы анализа угроз (TAG) и разведки угроз (GTIG) Google выявили «Coruna» — сложный комплект эксплойтов для iOS, который сейчас используется для кражи BIP39 seed-фраз и других данных кошельков с iPhone. Coruna объединяет 23 уязвимости в iOS 13.0–17.2.1, включая нулевые дни, и впервые была замечена в феврале 2025 года. Фреймворк определяет устройства посетителей на скомпрометированных сайтах азартных игр и поддельных биржах (атаки watering‑hole) и доставляет адаптированные цепочки JavaScript‑эксплойтов (RCE WebKit), обходящие механизмы защиты для получения системного доступа. После развёртывания комплект сканирует приложения и артефакты кошельков (MetaMask, BitKeep, приложения, связанные с Uniswap/DEX, кешированные QR‑коды, заметки, скриншоты) и эксфильтрирует 12–24‑словные seed‑фразы на зашифрованные серверы командования и контроля. Google отслеживает текущую финансово‑мотивированную волну до UNC6691, которое, по-видимому, приобрело комплект после ранее предполагаемого использования государственными акторами (UNC6353). Apple устранила эксплуатируемые уязвимости в iOS 17.3 и новее; TAG призывает немедленно обновить устройства или включить Lockdown Mode на устройствах, которые нельзя обновить. Для трейдеров атака повышает острую угрозу мобильным hot‑кошелькам и розничным пользователям: рекомендуемые меры — обновиться до iOS 17.3+, включить Lockdown Mode при невозможности обновления, удалить seed‑фразы из заметок/скриншотов и перевести значительные средства на аппаратные кошельки, требующие физического подтверждения. В отчёте подчёркивается тенденция: дорогостоящие zero‑day уязвимости, ранее использовавшиеся для шпионажа, коммерциализируются для масштабных краж криптовалют, что увеличивает риск фишинга/компрометации устройств и потенциальное краткосрочное давление распродаж при массовом распространении эксплуатации.
Bearish
Coruna повышает прямой риск для держателей криптовалют, использующих мобильные «горячие» кошельки, позволяя похищать seed‑фразы через атаки типа drive‑by/ watering‑hole. В краткосрочной перспективе это увеличивает вероятность внутридневных или быстрых продаж со стороны розничных пользователей, пострадавших и утративших доступ к средствам или стремящихся переместить активы в более безопасное хранилище, создавая локальное нисходящее давление на ликвидные токены, обычно хранящиеся в мобильных кошельках (ERC‑20 токены, основные альткойны). Непосредственное влияние на рынок, вероятно, будет сосредоточенным и кратковременным: эксплуатируемые пользователи будут продавать или пытаться вывести средства, но крупные институциональные держатели затронуты в меньшей степени. В средне‑ и долгосрочной перспективе массовая эксплуатация может подорвать доверие розницы к мобильным решениям хранения, повысить спрос на аппаратные кошельки и кастодиальные услуги и, возможно, уменьшить спекулятивные потоки в токены с небольшой капитализацией. Однако патчи в iOS 17.3+ и ясные шаги по смягчению (обновления, Lockdown Mode, аппаратные кошельки) снижают риск устойчивого падения рынка. В целом новость носит медвежий характер для краткосрочной динамики цен среди активов, наиболее хранящихся в уязвимых мобильных кошельках, тогда как долгосрочные эффекты зависят от принятия более надежных практик кастодиального хранения.