SlowMist警告Darksword可能针对iOS 26.5上的钱包

SlowMist警告称，攻击者可能已经调整了Darksword漏洞链，以破坏运行iOS 26.5的设备并提取自托管加密钱包的私钥。

摘要

• Darksword攻击可以在iPhone用户在Safari中打开恶意链接时开始。
• SlowMist表示攻击者可能已将漏洞链调整为适用于iOS 26.5。
• 谷歌此前确认Darksword活动影响了iOS 18.4至iOS 18.7。
• 三名美国投资者分别声称虚假钱包应用导致183.5万美元的比特币损失。

SlowMist首席信息安全官23pds表示，攻击者正在利用Darksword绕过苹果的安全控制，获得对受影响iPhone的广泛访问权限，并收集本地安装的加密货币钱包的数据。

据报道，iOS 26.5的漏洞尚未得到苹果或谷歌的独立确认。谷歌威胁情报组发布的研究记录了对iOS 18.4至18.7的支持，而23pds表示攻击者此后已修改该工具以适应更新的操作系统。

Darksword可能影响iOS 26.5设备

谷歌的威胁情报组将Darksword识别为一个完整的iOS漏洞链，结合六个漏洞以破坏设备并传递单独的恶意载荷。该公司追踪了至少从2025年12月到2026年3月的相关活动。

根据谷歌的说法，原始框架支持iOS 18.4至iOS 18.7。针对iOS 18.6至18.7设备的一个漏洞，追踪为CVE-2025-43529，影响了JavaScriptCore，这是处理Safari中JavaScript的引擎。苹果在谷歌报告后在iOS 18.7.3和iOS 26.2中修复了该漏洞。

SlowMist的最新评估将潜在的暴露范围扩展到iOS 26.5，尽管该安全公司的声明尚未获得官方确认。警告中引用的技术分析没有确定哪个漏洞或替代漏洞可能让Darksword破坏更新版本。

根据23pds的说法，攻击者通常通过社会工程发起攻击。目标通过社交网络、消息应用或其他通信渠道接收链接，并在Safari中打开该页面。恶意网页内容随后试图利用浏览器和其他iOS组件，而无需用户安装常规应用程序。

一旦链条成功，攻击者可能获得根级控制，23pds表示。这种访问权限可以消除通常阻止一个应用程序读取属于另一个应用程序的文件和凭据的隔离，从而使存储在设备上的私钥和其他钱包记录面临风险。

恶意Safari链接可能暴露钱包数据

谷歌发现多个团体使用Darksword，采用不同的最终阶段载荷，而不是固定的恶意软件。根据活动的不同，载荷可能收集账户详细信息、消息、浏览记录、文件、位置信息、保存的Wi-Fi数据以及与加密货币钱包相关的信息。

该安全公司将不同的操作与沙特阿拉伯、土耳其、马来西亚和乌克兰的受害者联系在一起。谷歌将一些活动与商业监视提供商和涉嫌与国家相关的团体联系在一起，同时研究人员还发现有迹象表明，财务动机的参与者获得了先进的iPhone利用工具的访问权限。

SlowMist提供的材料中没有包含受害者总数或通过Darksword确认被盗的加密货币金额。警告则集中在该框架在破坏存储钱包信息的设备后获取钱包信息的能力上。

一种类似的交付方法出现在早期的移动威胁中。今年3月，crypto.news报道了谷歌对Coruna的发现，这是一个包含23个漏洞的利用工具包，跨越五个攻击链。Coruna针对运行iOS 13至iOS 17.2.1版本的iPhone，并可以搜索文件和图像中的“备份短语”和“银行账户”等术语。

谷歌研究人员表示，Coruna在选择适合iPhone型号和软件版本的漏洞之前，会对访问者的设备进行指纹识别。一些运营商将该工具放置在假赌博和加密货币网站上，使得当目标加载页面时，攻击得以开始。

最近的iOS威胁针对私钥

Darksword并不是最近涉及苹果设备上加密货币数据的唯一安全威胁。Binance在9月19日警告iPhone和iPad用户，FomoPeek版本1.1和1.2中发现了恶意代码。

研究人员在检查该应用时发现了一个内核利用框架，包含八种攻击方法，并声明支持覆盖iOS 12.0至18.7.2和iOS 26.0至26.1。根据关于FomoPeek的报告，这些恶意模块能够逃脱iOS沙盒，解密钥匙链数据，并访问私钥、钱包恢复短语、账户凭证以及其他应用程序持有的文件。

Binance建议任何安装了受影响版本的用户删除该应用，更新iOS，并避免重新安装。自我保管的用户也被告知在干净的设备上创建一个新钱包并转移资产，因为删除恶意应用并不能保护钱包，如果其私钥或恢复短语已经被复制。

Darksword采用了不同的途径，因为其记录的活动依赖于恶意或被攻陷的网站。然而，这两种情况都涉及试图突破通常防止软件获取存储在iPhone其他地方的敏感记录的控制。

SlowMist建议用户及时安装移动操作系统更新，并避免打开陌生人发送的未经请求的链接。谷歌和苹果也将当前软件视为核心防御，因为苹果已经修补了原始Darksword链中记录的六个漏洞。

美国投资者也因假钱包起诉苹果

对于美国的加密货币持有者，Darksword的警告紧随其后的是关于通过苹果官方市场分发的恶意钱包软件的另一场争议。三名投资者提起联邦诉讼，指控假冒Sparrow Wallet的应用出现在App Store中，导致约183.5万美元的比特币损失，早前的法庭报道提到过这一点。

原告的指控涉及欺诈性应用，而不是基于浏览器的漏洞。然而，他们的案件仍然集中在苹果移动分发系统的安全性以及当用户信任被呈现为合法加密货币钱包的软件时可能发生的财务损失上。

另一个假冒应用声称是Ledger Live，涉嫌在4月7日至4月13日期间从50多名受害者那里盗取至少950万美元。区块链调查员ZachXBT追踪了来自比特币、以太坊、Solana、Tron和XRP用户的资金，发现其流向超过150个KuCoin存款地址和一个混合服务。

假Ledger应用在看似标准的钱包设置过程中要求用户输入其24个单词的恢复短语。苹果随后删除了该列表，而一名受害者表示，他在为新MacBook配置Ledger设备时下载了该应用。

与Darksword链不同，欺诈性的Ledger应用不需要突破操作系统的安全控制。用户通过在假冒软件中输入恢复短语暴露了他们的钱包，使其运营者控制了从这些短语派生的每个地址。