iPhone-exploit DarkSword opnieuw verpakt om cryptowallets te stelen
SlowMist zegt dat de DarkSword-exploitketen voor iOS opnieuw is verpakt als een inzetbaar spywareframework dat zich richt op iPhone-gebruikers en cryptowallets. De code verscheen in maart op GitHub en onderzoekers zagen vanaf eind september operationele aanvalsinfrastructuur. Het gerelateerde project DarkSword-PROV2 omvat naar verluidt exploitcode, een distributieserver, een beheerderspaneel, een database en modules voor diefstal uit de wallets imToken, TokenPocket en TronLink. In de documentatie werd de volledige versie aangeboden voor 5.000 USDT.
Naar verluidt kan het framework worden geactiveerd wanneer een gebruiker in Safari een kwaadaardige pagina bezoekt. Hoewel het systeem apparaten met iOS 13 of hoger accepteert en de bibliotheek meer dan 1.000 payloadvermeldingen bevat, zegt SlowMist dat de volledige exploitketens die momenteel door de routeringscode van de aanvallers worden ondersteund, zich richten op iOS 18.6–18.7.2 en iOS 26.0–26.1. Brede compatibiliteitslabels voor apparaten bewijzen niet dat elke versie kan worden gecompromitteerd.
In één periode van 30 dagen registreerde het controlepaneel 20.187 paginaweergaven en 1.187 exploitpogingen; er werden 10 geslaagde aanvallen gemeld en in negen gevallen werden gegevens buitgemaakt. SlowMist meldde ook 57 geregistreerde apparaten in meerdere regio’s. Afzonderlijk toonde het blootgestelde paneel 6.115 bezoeken, 10.125 diefstalregistraties en 143.802 iOS-logboeken; deze cijfers komen uit een andere rapportagecontext en mogen niet worden samengevoegd met de cijfers over de periode van 30 dagen. Er zijn geen financiële verliezen van slachtoffers bekendgemaakt. SlowMist adviseert iedereen die een verdachte pagina heeft bezocht ervan uit te gaan dat walletkeys en seed phrases mogelijk zijn blootgesteld, het geld over te zetten naar een nieuwe wallet die op een schoon apparaat is aangemaakt en onnodige tokentoestemmingen te controleren en in te trekken. De DarkSword-zaak onderstreept het risico dat openbare iOS-exploits worden aangepast om cryptovaluta uit wallets te stelen.
Neutral
Dit is een ernstige cyberbeveiligingsdreiging, maar de berichten noemen geen specifieke cryptomunt waarvan de fundamenten, het aanbod of de vraag zijn veranderd. Het incident kan cryptohandelaren en gebruikers van wallets op korte termijn voorzichtiger maken, vooral met betrekking tot activa in de getroffen wallets, en kan tot incidentele verkopen leiden als individuele verliezen aan het licht komen. Er zijn echter geen verliezen van slachtoffers gemeld en er is geen bewijs voor een brede marktverstoring of een directe prijsaanjager voor USDT, TRX of andere tokens die verband houden met de genoemde walletplatforms. Op langere termijn kunnen een groter veiligheidsbewustzijn en de overstap naar andere wallets het gebruikspatroon beïnvloeden, maar de exploit op zichzelf wijst niet op een aanhoudende richting voor tokenprijzen. Het verwachte directe prijseffect op de genoemde cryptovaluta is daarom neutraal.