CertiK警告DarkSword利用六个iOS漏洞窃取加密钱包

CertiK揭示无需签名的攻击手法

安全公司CertiK在11月6日发布于X平台的警报中指出,升级版DarkSword iPhone漏洞利用工具包可以在无需钱包连接、无需交易确认的情况下攻破未打补丁的iPhone,并窃取手机中存放的加密钱包。CertiK写道,在Safari浏览器中打开一个恶意页面就可能中招,受影响的应用包括MetaMask、Trust Wallet、Phantom、Exodus和Coinbase,设备上保存的密码和助记词同样在窃取范围内。该警报的技术依据来自Google威胁情报组3月18日的报告,报告披露了一条针对iOS 18.4至18.7版本、由六个漏洞串联而成的攻击链。Google识别出成功入侵后部署的三个恶意软件家族:GHOSTBLADE、GHOSTKNIFE和GHOSTSABER,它们能够收集钱包数据、设备钥匙串、备忘录数据库、浏览器记录和个人媒体文件,相关攻击活动最早可追溯至2025年11月,受害者分布在沙特阿拉伯、土耳其、马来西亚和乌克兰。苹果公司已在iOS 26.3版本发布前完成大部分修复,补丁随系统更新陆续下发。

@CertiKAlert · X 帖子

X平台的警报.

在 X 上查看

这一工具包持续在演进。移动安全公司iVerify在10月8日的报告中披露了P7变体,起因是8月在客户设备上发现的一起感染:该植入程序默认每15秒向命令服务器发送一次心跳,先在手机本地处理钥匙串数据再外传,并带有专门的指令用于识别已安装的钱包应用、提取imToken数据。iVerify与Report URI在10月21日的另一项调查还追踪了分发路径:恶意广告是主要渠道,其中一条世界杯主题的Instagram广告让员工在刷信息流时感染,另一个名为DeadTag的行动利用数百个重新注册的分析域名搭建网络,月访问量估计达1.35亿次。一个伪造的Polymarket页面同时投放了两个DarkSword变体,页面加载即自动感染存在漏洞的设备。CertiK建议持有大额资产的用户使用硬件钱包,高风险用户还应开启锁定模式。

CZ呼吁尽快升级,损失已达557万美元

币安联合创始人赵长鹏周五通过个人X账号公开喊话,要求iPhone用户立即更新操作系统,并对仍停留在旧版本的用户给出直言:任何钱包应用都补不了底层的系统漏洞,自托管意味着责任由用户自己承担。安全研究员Officer's Notes此前估算,已有约557万美元的数字资产经此漏洞被窃,恶意代码分布在超过18个网站上。同一位研究员还透露,该工具包在线上售价约3万美元,其中一个版本内置了专门针对imToken钱包的模块。苹果已完成对这六个漏洞的修复,Officer's Notes判断iOS 18.6.2是DarkSword支持的最后一个版本,这意味着危险集中在数月未更新的设备上。不过工具包代码中出现了iOS 26和iOS 27的字样,暗示开发者在为未来的系统版本准备利用程序。类似事件并非孤例:9月,苹果修复了一个CoreGraphics图形引擎漏洞,并承认其可能在针对特定个体的高级攻击中被利用;更早之前,慢雾科技与OKX在FomoPeek应用中发现了可越过iOS正常权限的恶意代码。研究者的建议汇成一份简短清单:在设置的通用菜单中安装最新版iOS;绝不把助记词存进备忘录、相册或截图;对Telegram群组和私信中流传的链接保持警惕。对于可能已被感染的设备,唯一的干净做法是在一台已更新的机器上生成新钱包,再把余额转过去,旧助记词绝不复用,我们的钱包失窃恢复指南逐步讲解了这一流程。

@cz_binance · X 帖子

个人X账号.

在 X 上查看

未更新的iPhone才是真正的攻击面

这起事件的核心文件是CertiK的警报本身:它明确说明攻击既不需要钱包连接,也不需要签名,这动摇了多数自托管训练所依赖的确认流程习惯。对照追回数据可以看出,风险敞口集中在运行iOS 26.3补丁之前旧版本的手机上,而被点名的五款应用大多是手机端的热钱包,其私钥设备本身即可读取。因此,相比挑选哪款应用,硬件隔离、冷存储和助记词管理,覆盖所有常见的加密钱包类型,才是更有效的防线。工具包中对iOS 26和iOS 27的引用表明,这一利用家族还打算继续演化。