Google TAG: 'Coruna' iPhone exploit kit nagnanakaw ng BIP39 seed phrases mula sa mga mobile wallet
Natukoy ng Google’s Threat Analysis Group (TAG) at Threat Intelligence Group (GTIG) ang “Coruna,” isang sopistikadong iOS exploit kit na ginagamit ngayon para magnakaw ng BIP39 seed phrases at iba pang wallet data mula sa mga iPhone. Binubuo ng Coruna ang 23 kahinaan sa iOS 13.0–17.2.1, kabilang ang zero-days, at unang nakita noong Pebrero 2025. Tinutukoy ng framework ang mga device ng bisita sa mga kompromisadong gambling at pekeng exchange site (watering‑hole attacks) at naghahatid ng binagong JavaScript exploit chains (WebKit RCE) na nilalampasan ang mga mitigations upang makakuha ng system-level access. Kapag na-deploy, siniscan ng kit ang mga wallet app at artifacts (MetaMask, BitKeep, Uniswap/DEX-related apps, cached QR codes, notes, screenshots) at ini-exfiltrate ang 12–24 word seed phrases sa encrypted command-and-control servers. Tinutunton ng Google ang kasalukuyang pinansyal na motivated wave sa UNC6691, na mukhang nakuha ang kit matapos itong umano’y ginamit dati ng isang nation-state actor (UNC6353). Inayos ng Apple ang mga in-exploit na kahinaan sa iOS 17.3 at mas bagong bersyon; hinihimok ng TAG ang agarang pag-update o pag-enable ng Lockdown Mode para sa mga device na hindi makaka-upgrade. Para sa mga trader, pinapataas ng atakeng ito ang matinding panganib sa mobile hot wallets at retail users: mga inirerekomendang mitigation ay ang pag-update sa iOS 17.3+, pag-enable ng Lockdown Mode kung hindi makaka-upgrade, pagtanggal ng seed phrases mula sa notes/screenshots, at ilipat ang malaking pondo sa hardware wallets na nangangailangan ng physical confirmation. Ipinapakita ng ulat ang isang trend: ang mga high-end zero-days na dating ginamit para sa espionage ay ginagawa nang mga kalakal para sa malakihang pagnanakaw ng crypto, na nagpapataas ng panganib ng phishing/device compromise at posibleng panandaliang selling pressure kung maging malawak ang exploitation.
Bearish
Pinapataas ng Coruna ang direktang panganib sa mga may-ari ng crypto na gumagamit ng mobile hot wallets sa pamamagitan ng pagpapahintulot ng pagnanakaw ng seed‑phrase sa pamamagitan ng drive-by watering‑hole attacks. Sa maikling panahon, pinapataas nito ang posibilidad ng intraday o mabilis na pagbebenta ng mga apektadong retail user na nawalan ng access sa pondo o nagsusumikap ilipat ang mga asset sa mas ligtas na imbakan, na lumilikha ng lokal na downward pressure sa mga likidong token na karaniwang hawak sa mobile wallets (ERC‑20 token, pangunahing mga altcoin). Ang agarang epekto sa merkado malamang na nakapokus at pansamantala: ang mga na-exploit na user ay magbebenta o susubukang i-withdraw ang pondo, ngunit ang malalaking institusyonal na holders ay hindi gaanong apektado. Sa gitna hanggang pangmatagalang panahon, ang malawakang eksploitasyon ay maaaring bawasan ang tiwala ng retail sa mobile custody solutions, tumaas ang demand para sa hardware wallets at custodial services at posibleng mabawasan ang speculative flows papunta sa smaller-cap tokens. Gayunpaman, ang mga patch sa iOS 17.3+ at malinaw na mitigation steps (updates, Lockdown Mode, hardware wallets) ay nagpapababa ng panganib ng pangmatagalang pagbaba ng merkado. Sa kabuuan, ang balita ay bearish para sa short-term price action sa mga asset na pinaka-hinahawakan sa mga mahihinang mobile wallets, habang ang pangmatagalang epekto ay nakasalalay sa pag-adopt ng mas malalakas na custody practices.