암호화폐 지갑을 훔치기 위해 iPhone용 DarkSword 익스플로잇을 재패키징

SlowMist에 따르면 DarkSword iOS 익스플로잇 체인이 iPhone 사용자와 암호화폐 지갑을 노리는 배포형 스파이웨어 프레임워크로 재포장됐습니다. 코드는 3월 GitHub에 공개됐으며, 연구진은 9월 말부터 공격 인프라가 운영되는 것을 관찰했습니다. 관련 프로젝트인 DarkSword-PROV2에는 익스플로잇 코드, 전달 서버, 관리 패널, 데이터베이스와 imToken, TokenPocket, TronLink 지갑을 노리는 탈취 모듈이 포함된 것으로 알려졌습니다. 문서에서는 완전판을 5,000 USDT에 제공했습니다. 사용자가 Safari에서 악성 페이지를 방문하면 이 프레임워크가 작동할 수 있다고 합니다. 시스템은 iOS 13 이상 기기를 지원하고 라이브러리에 1,000개가 넘는 페이로드 항목을 보유하고 있지만, SlowMist에 따르면 공격자의 라우팅 코드가 현재 지원하는 완전한 익스플로잇 체인은 iOS 18.6–18.7.2와 iOS 26.0–26.1을 대상으로 합니다. 기기 지원 범위를 포괄적으로 표시했다고 해서 모든 버전이 침해될 수 있다는 뜻은 아닙니다. 30일 동안 제어 패널에는 페이지 방문 20,187건과 익스플로잇 시도 1,187건이 기록됐습니다. 성공 사례는 10건으로 보고됐으며, 이 중 9건에서 데이터 유출이 발생했습니다. SlowMist는 여러 지역에서 기록된 기기 57대도 보고했습니다. 이와 별도로 노출된 패널에는 방문 6,115건, 탈취 기록 10,125건, iOS 로그 143,802건이 표시됐습니다. 이 수치는 다른 보고 맥락에서 나온 것이므로 30일간의 흐름 데이터와 합산해서는 안 됩니다. 피해자의 금전적 손실은 공개되지 않았습니다. SlowMist는 의심스러운 페이지를 방문한 사람에게 지갑 키와 시드 문구가 노출됐을 가능성이 있다고 보고, 깨끗한 기기에서 만든 새 지갑으로 자금을 옮긴 뒤 불필요한 토큰 승인 내역을 검토하고 취소하라고 권고합니다. DarkSword 사례는 공개된 iOS 익스플로잇이 암호화폐 지갑 탈취에 맞게 변형될 위험을 보여 줍니다.