Google TAG: ชุดช่องโหว่ iPhone 'Coruna' ขโมยวลีเมล็ดพันธุ์ BIP39 จากกระเป๋าเงินมือถือ

กลุ่มวิเคราะห์ภัยคุกคาม (TAG) และกลุ่มข่าวกรองภัยคุกคาม (GTIG) ของ Google ระบุชุดช่องโหว่สำหรับ iOS ชื่อ “Coruna” ซึ่งซับซ้อนและปัจจุบันถูกใช้เพื่อขโมยวลี seed BIP39 และข้อมูลกระเป๋าเงินอื่น ๆ จาก iPhone Coruna รวบรวมช่องโหว่ 23 รายการใน iOS 13.0–17.2.1 รวมทั้ง zero‑day และพบครั้งแรกในเดือนกุมภาพันธ์ 2025 เฟรมเวิร์กจะระบุตัวอุปกรณ์ผู้เข้าชมบนเว็บไซต์พนันที่ถูกเจาะและเว็บเทรดปลอม (การโจมตีแบบ watering‑hole) และส่งชุดการโจมตี JavaScript ที่ปรับแต่ง (RCE ของ WebKit) เพื่อเลี่ยงมาตรการป้องกันและได้สิทธิ์เข้าถึงระดับระบบ เมื่อถูกใช้งาน ชุดเครื่องมือนี้จะสแกนหาแอปและหลักฐานของกระเป๋าเงิน (MetaMask, BitKeep, แอปที่เกี่ยวข้องกับ Uniswap/DEX, รหัส QR ที่แคชไว้, โน้ต, ภาพหน้าจอ) และขโมยวลี seed 12–24 คำไปยังเซิร์ฟเวอร์คำสั่งและควบคุมที่เข้ารหัส Google ติดตามคลื่นที่มีแรงจูงใจทางการเงินในปัจจุบันไปยัง UNC6691 ซึ่งดูเหมือนจะได้มาซึ่งชุดเครื่องมือนี้หลังจากการใช้งานก่อนหน้านี้ที่สงสัยว่าเป็นรัฐ (UNC6353) Apple ได้แก้ไขช่องโหว่ที่ถูกใช้ใน iOS 17.3 ขึ้นไป; TAG กระตุ้นให้รีบอัปเดตทันทีหรือเปิด Lockdown Mode สำหรับอุปกรณ์ที่ไม่สามารถอัปเกรดได้ สำหรับผู้เทรด การโจมตีเพิ่มความเสี่ยงอย่างมากต่อ hot wallet บนมือถือและผู้ใช้รายย่อย: มาตรการที่แนะนำ ได้แก่ อัปเดตเป็น iOS 17.3+, เปิด Lockdown Mode หากไม่สามารถอัปเดตได้, เอาวลี seed ออกจากโน้ต/ภาพหน้าจอ และย้ายเงินจำนวนมากไปยังฮาร์ดแวร์วอลเล็ตที่ต้องการการยืนยันทางกายภาพ รายงานชี้แนวโน้มว่า zero‑day ขั้นสูงที่เคยใช้สำหรับสอดแนมกำลังถูกแปรสภาพเป็นสินค้าที่ใช้ขโมยคริปโตในวงกว้าง เพิ่มความเสี่ยงของการฟิชชิง/การยึดอุปกรณ์และมีโอกาสกดดันให้ขายระยะสั้นหากการโจมตีแพร่หลาย