Google TAG: bộ khai thác iPhone 'Coruna' đánh cắp cụm từ seed BIP39 từ ví di động
Nhóm Phân tích Mối đe dọa (TAG) và Nhóm Tình báo Mối đe dọa (GTIG) của Google đã xác định “Coruna”, một bộ khai thác iOS tinh vi hiện được sử dụng để đánh cắp cụm từ seed BIP39 và các dữ liệu ví khác từ iPhone. Coruna gom 23 lỗ hổng trên iOS 13.0–17.2.1, bao gồm cả zero‑day, và được phát hiện lần đầu vào tháng 2 năm 2025. Khung này nhận dạng thiết bị khách trên các trang cờ bạc bị xâm phạm và các sàn giả mạo (tấn công watering‑hole) và phân phối chuỗi khai thác JavaScript tùy chỉnh (RCE WebKit) vượt qua các biện pháp giảm thiểu để chiếm quyền hệ thống. Khi được triển khai, bộ công cụ quét các ứng dụng và vật chứng ví (MetaMask, BitKeep, ứng dụng liên quan Uniswap/DEX, mã QR được lưu trong bộ nhớ đệm, ghi chú, ảnh chụp màn hình) và trích xuất cụm từ seed 12–24 từ vào các máy chủ chỉ huy‑điều khiển được mã hóa. Google truy nguyên làn sóng có động cơ tài chính hiện tại tới UNC6691, tổ chức dường như đã mua bộ kit sau khi trước đó có thể được sử dụng bởi nhà nước (UNC6353). Apple đã vá các lỗ hổng bị khai thác trong iOS 17.3 trở lên; TAG khuyến cáo cập nhật ngay lập tức hoặc bật Lockdown Mode cho các thiết bị không thể nâng cấp. Đối với các nhà giao dịch, cuộc tấn công đặt ra rủi ro nghiêm trọng cho ví nóng di động và người dùng bán lẻ: các biện pháp khuyến nghị gồm cập nhật lên iOS 17.3+, bật Lockdown Mode nếu không thể cập nhật, xóa cụm từ seed khỏi ghi chú/ảnh chụp màn hình và chuyển số tiền lớn sang ví phần cứng yêu cầu xác nhận vật lý. Báo cáo nhấn mạnh xu hướng: các zero‑day cao cấp từng được dùng cho gián điệp đang trở thành hàng hóa cho các vụ trộm tiền mã hóa quy mô lớn, làm tăng rủi ro lừa đảo/tiếp quản thiết bị và khả năng gây áp lực bán ngắn hạn nếu việc khai thác lan rộng.
Bearish
Coruna làm tăng rủi ro trực tiếp cho người nắm giữ tiền điện tử sử dụng ví nóng trên di động bằng cách cho phép đánh cắp cụm từ seed thông qua các cuộc tấn công drive‑by kiểu watering‑hole. Trong ngắn hạn, điều này làm tăng khả năng bán trong ngày hoặc bán nhanh của người dùng bán lẻ bị ảnh hưởng khi họ mất quyền truy cập vào quỹ hoặc tìm cách chuyển tài sản sang lưu trữ an toàn hơn, tạo áp lực giảm cục bộ lên các token thanh khoản thường được giữ trong ví di động (token ERC‑20, các altcoin lớn). Tác động thị trường tức thì có khả năng tập trung và nhất thời: những người dùng bị khai thác sẽ bán hoặc cố gắng rút tiền, nhưng các nhà nắm giữ tổ chức lớn ít bị ảnh hưởng hơn. Trong trung và dài hạn, việc khai thác lan rộng có thể làm xói mòn niềm tin của nhà đầu tư bán lẻ vào các giải pháp lưu ký trên di động, làm tăng nhu cầu về ví phần cứng và dịch vụ lưu ký và có thể giảm các dòng tiền đầu cơ vào token vốn hóa nhỏ. Tuy nhiên, các bản vá trong iOS 17.3+ và các bước giảm thiểu rõ ràng (cập nhật, Lockdown Mode, ví phần cứng) làm giảm rủi ro suy giảm thị trường kéo dài. Nhìn chung, tin tức có xu hướng giảm cho diễn biến giá ngắn hạn của các tài sản được giữ nhiều nhất trong ví di động dễ bị tổn thương, trong khi các ảnh hưởng dài hạn phụ thuộc vào việc áp dụng các thực hành lưu ký mạnh hơn.