Google TAG：iPhone 漏洞套件「Coruna」從行動錢包竊取 BIP39 種子短語

Google 的 Threat Analysis Group (TAG) 與 Threat Intelligence Group (GTIG) 已識別到名為「Coruna」的高階 iOS exploit 套件，目前被用來從 iPhone 竊取 BIP39 種子詞及其他錢包資料。Coruna 結合了針對 iOS 13.0–17.2.1 的 23 項漏洞（包含零日漏洞），並於 2025 年 2 月首次被觀測到。該框架會在被入侵的博彩與假交易所網站（watering‑hole 攻擊）上對訪客裝置進行指紋蒐集，並投放客製化的 JavaScript exploit chain（WebKit RCE），繞過防護以取得系統層級權限。部署後，該套件會掃描錢包應用與相關痕跡（MetaMask、BitKeep、Uniswap/DEX 相關應用、快取的 QR code、筆記、螢幕截圖），並將 12–24 字的 seed phrase 外洩到加密的 command-and-control 伺服器。Google 將目前這波以金錢為動機的攻擊追溯到 UNC6691，該組織疑似在早期遭疑為國家行為者使用（UNC6353）後取得該套件。Apple 已在 iOS 17.3 及之後版本修補被利用的漏洞；TAG 呼籲立即更新，或對無法升級的裝置啟用 Lockdown Mode。對交易者而言，此攻擊對行動熱錢包與散戶使用者構成嚴重風險：建議的緩解措施包括更新至 iOS 17.3+、無法更新者啟用 Lockdown Mode、從筆記/截圖移除 seed phrase，以及將大量資產移至需實體確認的硬體錢包。該報告強調一項趨勢：曾用於間諜活動的高階 zero-days 正被商品化，用於大規模加密貨幣竊取，增加釣魚／裝置被攻陷的風險；若利用普及化，可能造成短期賣壓。