Google TAG: iPhone için 'Coruna' istismar kiti mobil cüzdanlardan BIP39 seed ifadelerini çalıyor
Google’ın Tehdit Analiz Grubu (TAG) ve Tehdit İstihbarat Grubu (GTIG), iPhone’lardaki BIP39 seed ifadelerini ve diğer cüzdan verilerini çalmak için kullanılan gelişmiş bir iOS exploit kiti olan “Coruna”yı tespit etti. Coruna, iOS 13.0–17.2.1 arasındaki sıfırıncı gün dahil 23 güvenlik açığını paketliyor ve ilk kez Şubat 2025’te görüldü. Çerçeve, ele geçirilmiş bahis ve sahte borsa sitelerindeki (watering‑hole saldırıları) ziyaretçi cihazları parmak iziyle tanıyor ve sistem düzeyinde erişim elde etmek için hafife alınan korumaları atlayan, hedefe yönelik JavaScript exploit zincirleri (WebKit RCE) teslim ediyor. Dağıtıldığında kit, cüzdan uygulamalarını ve bileşenlerini (MetaMask, BitKeep, Uniswap/DEX ile ilgili uygulamalar, önbelleğe alınmış QR kodları, notlar, ekran görüntüleri) tarıyor ve 12–24 kelimelik seed ifadelerini şifreli komut‑kontrol sunucularına sızdırıyor. Google, mevcut finansal motivasyonlu dalgayı kitin daha önce devlet destekli kullanımına (UNC6353) kadar uzanan ve daha sonra kiti edinmiş gibi görünen UNC6691’e kadar izliyor. Apple, sömürülen hataları iOS 17.3 ve sonrasında yamadı; TAG, hemen güncelleme yapmayı veya yükseltilemeyen cihazlar için Lockdown Mode’u etkinleştirmeyi öneriyor. Traderlar için saldırı, mobil hot wallet’lar ve perakende kullanıcılar adına ciddi risk oluşturuyor: önerilen önlemler iOS 17.3+’e güncelleme, güncelleyemiyorsa Lockdown Mode’u açma, seed ifadelerini notlardan/ekran görüntülerinden kaldırma ve önemli fonları fiziksel onay gerektiren donanım cüzdanlarına taşıma. Rapor, casusluk için kullanılan yüksek profilli zero‑day’lerin artık geniş çaplı kripto hırsızlığı için ticarileştiği eğilimini vurguluyor; bu durum phishing/cihaz ele geçirme riskini ve istismar yaygınlaşırsa kısa vadeli satış baskısı olasılığını artırıyor.
Bearish
Coruna, mobil sıcak cüzdan kullanan kripto sahipleri için doğrudan riski artırıyor; drive‑by watering‑hole saldırıları yoluyla seed‑phrase hırsızlığına imkan tanıyor. Kısa vadede bu, fonlara erişimi kaybeden veya varlıkları daha güvenli saklamaya taşımaya çalışan etkilenen perakende kullanıcılarının günlük içinde ya da hızlı satış yapma olasılığını artırarak mobil cüzdanlarda yaygın olarak tutulan likit tokenler (ERC‑20 tokenler, büyük altcoinler) üzerinde lokal aşağı yönlü baskı yaratır. Anlık piyasa etkisi muhtemelen yoğunlaşmış ve geçici olacaktır: sömürülen kullanıcılar satış yapacak veya fon çekmeye çalışacak, ancak büyük kurumsal sahipler daha az etkilenecektir. Orta ve uzun vadede yaygın istismar, perakende güvenini mobil saklama çözümlerine karşı aşındırabilir, donanım cüzdanları ve saklama hizmetlerine talebi artırabilir ve küçük piyasa değerli tokenlere spekülatif akışları azaltabilir. Ancak iOS 17.3+ güncellemeleri ve net hafifletme adımları (güncellemeler, Lockdown Mode, donanım cüzdanlar) kalıcı piyasa düşüşü riskini azaltır. Genel olarak haber, savunmasız mobil cüzdanlarda en çok tutulan varlıklar arasında kısa vadeli fiyat hareketleri için düşüş yönlüdür; uzun vadeli etkiler ise daha güçlü saklama uygulamalarının benimsenmesine bağlıdır.