Google TAG: iPhone‑exploitkit 'Coruna' stjäl BIP39‑seedfraser från mobila plånböcker
Googles Threat Analysis Group (TAG) och Threat Intelligence Group (GTIG) har identifierat ”Coruna”, ett sofistikerat iOS-exploitpaket som nu används för att stjäla BIP39-seedfraser och annan plånboksdata från iPhones. Coruna innehåller 23 sårbarheter för iOS 13.0–17.2.1, inklusive zero-days, och upptäcktes första gången i februari 2025. Ramverket fingeravtrycker besökares enheter på komprometterade spel- och falska växlingssajter (watering‑hole-attacker) och levererar skräddarsydda JavaScript-exploitkedjor (WebKit RCE) som kringgår skyddsmekanismer för att få systemnivååtkomst. När det väl har distribuerats skannar paketet efter plånboksappar och artefakter (MetaMask, BitKeep, Uniswap/DEX-relaterade appar, cachade QR-koder, anteckningar, skärmdumpar) och exfiltrerar 12–24-ords seedfraser till krypterade command-and-control-servrar. Google spårar den nuvarande finansiellt motiverade vågen till UNC6691, som verkar ha förvärvat paketet efter tidigare misstänkt användning av en statligt stödd aktör (UNC6353). Apple åtgärdade de utnyttjade felen i iOS 17.3 och senare; TAG uppmanar till omedelbara uppdateringar eller att aktivera Lockdown Mode för enheter som inte kan uppgraderas. För traders ökar attacken risken för mobila hot-wallets och privata användare: rekommenderade åtgärder inkluderar att uppdatera till iOS 17.3+, aktivera Lockdown Mode om uppgradering inte är möjlig, ta bort seedfraser från anteckningar/skärmdumpar och flytta betydande medel till hårdvaruplånböcker som kräver fysisk bekräftelse. Rapporten framhäver en trend: högkvalitativa zero-days som tidigare användes för spionage blir nu handelsvaror för storskalig kryptostöld, vilket ökar risken för nätfiske/enhetskompromiss och potentiell kortsiktig försäljningspress om utnyttjandet blir utbrett.
Bearish
Coruna ökar den direkta risken för kryptoinnehavare som använder mobila hot-wallets genom att möjliggöra stöld av seed‑fraser via drive-by watering‑hole-attacker. På kort sikt ökar detta sannolikheten för intradags- eller snabba försäljningar av berörda privatkunder som förlorar åtkomst till medel eller försöker flytta tillgångar till säkrare förvar, vilket skapar lokal nedåtgående press på likvida tokens som ofta hålls i mobila wallets (ERC‑20‑token, större altcoins). Den omedelbara marknadspåverkan är sannolikt koncentrerad och övergående: exploaterade användare kommer att sälja eller försöka ta ut medel, medan stora institutionella innehavare påverkas mindre. På medellång till lång sikt kan utbredd exploatering urholka småspararnas förtroende för mobila förvaringslösningar, öka efterfrågan på hårdvaruplånböcker och förvarstjänster och eventuellt minska spekulativa flöden till mindre kapitaliserade token. Dock minskar patchar i iOS 17.3+ och tydliga mitigationssteg (uppdateringar, Lockdown Mode, hårdvaruplånböcker) risken för bestående marknadsnedgång. Sammantaget är nyheten negativ för kortsiktig prisutveckling bland tillgångar som mest hålls i sårbara mobila wallets, medan långsiktiga effekter beror på adoptionen av starkare förvaringsrutiner.