Google TAG: експлойт‑пакет для iPhone «Coruna» краде BIP39 seed‑фрази з мобільних гаманців
Групи аналізу загроз (TAG) та розвідки загроз (GTIG) Google виявили «Coruna» — складний комплект експлоітів для iOS, який нині використовується для крадіжки BIP39 seed‑фраз і інших даних гаманців з iPhone. Coruna об’єднує 23 вразливості в iOS 13.0–17.2.1, включаючи zero‑day, і була помічена вперше в лютому 2025 року. Фреймворк відстежує пристрої відвідувачів на скомпрометованих сайтах азартних ігор та підроблених біржах (watering‑hole атаки) і доставляє адаптовані ланцюжки JavaScript‑експлоітів (RCE WebKit), що обходять захист і дають системний доступ. Після розгортання комплект сканує додатки та артефакти гаманців (MetaMask, BitKeep, додатки, пов’язані з Uniswap/DEX, кешовані QR‑коди, нотатки, скриншоти) і вивантажує 12–24 словні seed‑фрази на зашифровані C2‑сервери. Google простежує поточну фінансово мотивовану хвилю до UNC6691, яке, ймовірно, придбало комплект після ранішнього, ймовірного державного використання (UNC6353). Apple виправила вразливості в iOS 17.3 і новіших; TAG закликає негайно оновити пристрої або ввімкнути Lockdown Mode на пристроях, які не можуть оновитися. Для трейдерів атака створює гострий ризик для мобільних hot‑walletів і роздрібних користувачів: рекомендовані заходи — оновитися до iOS 17.3+, увімкнути Lockdown Mode якщо оновлення неможливе, видалити seed‑фрази з нотаток/скриншотів і перемістити значні кошти на апаратні гаманці, що вимагають фізичного підтвердження. У звіті підкреслюється тенденція: висококласні zero‑day, які раніше використовувалися для шпигунства, комодифікуються для масштабних крадіжок криптовалют, що підвищує ризик фішингу/компрометації пристроїв і може спричинити короткостроковий тиск продажів, якщо експлуатація пошириться.
Bearish
Coruna підвищує прямий ризик для власників криптовалюти, які користуються мобільними «гарячими» гаманцями, дозволяючи викрадення seed‑фраз через атаки drive‑by watering‑hole. У короткостроковій перспективі це підвищує ймовірність внутрішньоденних або швидких продажів з боку роздрібних користувачів, що постраждали і втратили доступ до коштів або намагаються перевести активи в більш безпечне сховище, створюючи локальний низхідний тиск на ліквідні токени, які зазвичай зберігаються у мобільних гаманцях (ERC‑20 токени, основні альткоїни). Негайний вплив на ринок ймовірно буде сконцентрованим і тимчасовим: постраждалі користувачі продаватимуть або намагатимуться вивести кошти, тоді як великі інституційні тримачі зачеплені меншою мірою. У середньо‑ та довгостроковій перспективі масове експлуатування може підірвати довіру роздрібу до мобільних рішень для кастодіального зберігання, збільшити попит на апаратні гаманці та кастодіальні послуги і, можливо, зменшити спекулятивні потоки в токени з малою капіталізацією. Проте виправлення в iOS 17.3+ та чіткі кроки з пом’якшення (оновлення, Lockdown Mode, апаратні гаманці) знижують ризик стійкого падіння ринку. Загалом новина має ведмежий характер для короткострокової цінової динаміки активів, що найбільше тримаються в уразливих мобільних гаманцях, тоді як довгострокові ефекти залежать від впровадження більш надійних практик зберігання.