Google TAG：iPhone 濫用程式套件「Coruna」從流動錢包竊取 BIP39 種子短語

Google 的 Threat Analysis Group (TAG) 及 Threat Intelligence Group (GTIG) 已識別名為「Coruna」的先進 iOS 漏洞利用套件，現正用於從 iPhone 偷取 BIP39 種子詞及其他錢包資料。Coruna 包含針對 iOS 13.0–17.2.1 的 23 個漏洞（包括零日漏洞），並於 2025 年 2 月首次被發現。此框架會在被入侵的博彩及假交易所網站（watering‑hole 攻擊）上對訪客裝置進行指紋辨識，並傳送量身定制的 JavaScript 利用鏈（WebKit RCE），繞過緩解措施以取得系統級存取權。部署後，該套件會掃描錢包應用及相關痕跡（MetaMask、BitKeep、Uniswap/DEX 相關應用、快取的 QR 碼、筆記、截圖），並將 12–24 字的種子詞外洩到加密的指揮與控制伺服器。Google 將目前以財務為動機的攻擊潮追溯至 UNC6691，該組織似乎在此前疑似由國家支持的活動（UNC6353）使用後取得了此套件。Apple 在 iOS 17.3 及以後版本修補了被利用的漏洞；TAG 呼籲立即更新，或對無法升級的裝置啟用 Lockdown Mode。對交易者而言，此攻擊對流動錢包（mobile hot wallets）及零售用戶構成重大風險：建議的緩解措施包括升級至 iOS 17.3+、若無法升級則啟用 Lockdown Mode、從筆記/截圖中移除種子詞，並將大量資金轉移至需實體確認的硬件錢包。報告指出一個趨勢：曾用於間諜活動的高端零日漏洞正被商品化，轉為大規模加密貨幣盜竊工具，增加釣魚／裝置被攻陷的風險，若利用泛濫，可能會帶來短期的拋售壓力。