Exploit DarkSword na iPhone’a przepakowany w celu kradzieży portfeli kryptowalutowych
SlowMist informuje, że łańcuch exploitów DarkSword dla systemu iOS został ponownie spakowany jako gotowy do wdrożenia framework spyware, którego celem są użytkownicy iPhone’ów i ich portfele kryptowalutowe. Kod pojawił się na GitHubie w marcu, a badacze zaobserwowali działającą infrastrukturę ataków od końca września. Powiązany projekt DarkSword-PROV2 ma podobno obejmować kod exploitów, serwer dystrybucyjny, panel administracyjny, bazę danych oraz moduły kradzieży ukierunkowane na portfele imToken, TokenPocket i TronLink. Dokumentacja oferowała pełną wersję za 5000 USDT.
Według doniesień framework może zostać uruchomiony, gdy użytkownik odwiedzi złośliwą stronę w przeglądarce Safari. Choć system akceptuje urządzenia z iOS 13 lub nowszym, a jego biblioteka zawiera ponad 1000 wpisów ładunków, SlowMist twierdzi, że kompletne łańcuchy exploitów obsługiwane obecnie przez kod routingu atakujących są wymierzone w iOS 18.6–18.7.2 oraz iOS 26.0–26.1. Ogólne oznaczenia zgodności urządzeń nie dowodzą, że każda wersja może zostać przejęta.
W jednym 30-dniowym okresie panel kontrolny odnotował 20 187 odwiedzin stron i 1187 prób wykorzystania exploitów; zgłoszono 10 udanych ataków, a w dziewięciu przypadkach doszło do wykradzenia danych. SlowMist poinformował również o 57 zarejestrowanych urządzeniach w kilku regionach. Niezależnie od tego ujawniony panel pokazywał 6115 odwiedzin, 10 125 zapisów dotyczących kradzieży i 143 802 logi iOS; dane te pochodzą z innego kontekstu raportowania i nie należy łączyć ich ze statystykami z 30-dniowego okresu. Nie ujawniono strat finansowych poniesionych przez ofiary. SlowMist zaleca każdemu, kto odwiedził podejrzaną stronę, uznać klucze do portfela i frazy seed za potencjalnie ujawnione, przenieść środki do nowego portfela utworzonego na czystym urządzeniu oraz sprawdzić i cofnąć zbędne zgody na tokeny. Sprawa DarkSword uwidacznia ryzyko adaptowania publicznie znanych exploitów iOS do kradzieży kryptowalut z portfeli.
Neutral
Jest to poważne zagrożenie dla cyberbezpieczeństwa, ale doniesienia nie wskazują konkretnej kryptowaluty, której fundamenty, podaż lub popyt uległy zmianie. Incydent może skłonić traderów kryptowalut i użytkowników portfeli do zachowania ostrożności w krótkim terminie, zwłaszcza w odniesieniu do aktywów przechowywanych w zaatakowanych portfelach, a jeśli pojawią się informacje o indywidualnych stratach, może doprowadzić do pojedynczych przypadków sprzedaży. Nie ujawniono jednak strat poniesionych przez ofiary i nie ma dowodów na szeroko zakłócenia na rynku ani na bezpośredni czynnik wpływający na ceny USDT, TRX lub innych tokenów powiązanych z wymienionymi platformami portfeli. W dłuższej perspektywie większa świadomość zagrożeń i migracja do innych portfeli mogą wpłynąć na wzorce użytkowania, ale sam exploit nie przesądza o utrzymującym się kierunku cen tokenów. Oczekiwany bezpośredni wpływ na ceny wymienionych kryptowalut jest zatem neutralny.