DarkSword iPhone漏洞工具被改造用于窃取加密钱包

慢雾表示，DarkSword iOS 漏洞利用链已被重新包装成可部署的间谍软件框架，目标是 iPhone 用户和加密货币钱包。相关代码于 3 月出现在 GitHub 上，研究人员从 9 月下旬起观察到攻击基础设施运行。相关项目 DarkSword-PROV2 据称包含漏洞利用代码、投递服务器、管理后台、数据库，以及针对 imToken、TokenPocket 和 TronLink 钱包的窃取模块。其文档称，完整版售价为 5,000 USDT。 据称，用户在 Safari 中访问恶意网页即可触发该框架。虽然系统接受 iOS 13 及以上设备，且其载荷库包含超过 1,000 条记录，但慢雾表示，攻击者路由代码目前支持的完整利用链针对 iOS 18.6–18.7.2 和 iOS 26.0–26.1。设备版本标注范围较广，并不代表所有版本都能被攻破。 在一个 30 天统计周期内，管理后台记录了 20,187 次页面访问和 1,187 次漏洞利用尝试，其中 10 次据报成功，9 次完成数据外传。慢雾还称，后台记录了分布于多个地区的 57 台设备。此外，暴露的后台另显示 6,115 次访问、10,125 条窃取记录和 143,802 条 iOS 日志；这些数据来自不同统计口径，不应与 30 天攻击漏斗合并计算。报告未披露受害者的资金损失。慢雾建议，访问过可疑网页的用户应将钱包密钥和助记词视为可能已泄露，在干净设备上创建新钱包并转移资产，同时检查和撤销不必要的代币授权。DarkSword 事件凸显了公开 iOS 漏洞被改造成加密钱包窃取工具的风险。