DarkSword漏洞持续攻击Trust Wallet(TWT)等9款钱包应用

DarkSword攻击套件仍锁定9款钱包应用

苹果的iOS 26.3更新已经封堵了DarkSword漏洞利用套件所依赖的全部入口,但针对iPhone加密钱包的攻击活动并未结束。网络安全公司Censys的研究人员发现,托管DarkSword及其投递的Coruna恶意软件部署目录的多台服务器至今仍在运行,距离这些漏洞首次浮出水面已有数月。研究人员梳理的是让整套攻击持续运转的服务端基础设施,而非一次已经收场的行动残留。换言之,这套威胁是进行时:只要设备还在跑未打补丁的系统,攻击者今天就仍然能够触达它。受影响的目标名单中包括Trust Wallet(TWT)。

该套件通过苹果的两个组件发起入侵:负责渲染网页内容的WebKit和在应用内执行脚本的JavaScriptCore。设备被攻破后,Coruna会扫描机内已安装的钱包软件,搜刮一切能够解锁用户资产的凭据。受影响的九款钱包产品分别是Coinbase、MetaMask、Trust Wallet、Phantom、Exodus、Uniswap、Bitpie、imToken和OKEx,既覆盖自托管客户端,也包括交易所关联应用。名单上的每一款应用都保管着私钥或登录凭据,一旦失窃,余额直接被转走。对Trust Wallet而言,这次暴露还有代币层面的一层含义:TWT是该应用的原生功能代币,Trust Wallet Token价格在一定程度上反映着用户群体对钱包的信心。但最危险的行为发生在钱包应用之外。Censys指出,Coruna能够扫描受感染设备中存储的照片和笔记,专门搜寻BIP39助记词,也就是用于备份HD钱包的12个或24个单词的词组。助记词一旦落入攻击者手中,对方可以在自己的设备上直接恢复钱包并清空资产,全程无需再接触那部手机。自托管把全部安全责任压在持有人身上,这正是此类移动端漏洞会直接演变为资产风险的根源。

iOS 26.3补丁与它的边界

补救措施已经落地:苹果在iOS 26.3中修补了DarkSword所依赖的每一个漏洞,剩下的问题是更新是否真正装到了用户手机上。仍停留在iOS 26.2或更低版本的设备,包括还在运行旧版iOS 18的机器,在补丁未送达之前都处于可被攻击的状态。对持有人来说,操作路径很短:打开设置,确认当前iOS版本,安装26.3更新,此后才可视为手机脱离攻击套件的射程。不过,升级系统并不能覆盖问题的全部。一张曾经拍摄、截图或录入备忘录的助记词,在补丁安装之后仍原样躺在原处,而Coruna的扫描逻辑恰恰是为找到这类内容而设计的。存储习惯因此必须与系统更新同步进行:助记词应当离线保存,抄写在卡片或金属备份上,而不是留在同步的照片图库里;使用硬件钱包则可以让种子材料完全脱离手机。任何一台加密钱包的助记词只要曾在未打补丁的手机上出现过,都应按已泄露处理。对确认设备曾暴露的用户,稳妥的操作顺序是:先更新系统,再在已打补丁的设备上生成全新钱包,然后把余额迁移过去,因为一旦泄露,助记词无法收回。代币层面则值得单独说明:TWT在Trust Wallet生态内提供手续费折扣和治理权利,但不托管任何用户资金,因此这次漏洞威胁的是钱包的采用度与声誉,而非代币合约本身。补丁不会报告设备是否已被探测过,检查系统版本和清理笔记里的敏感内容,只能靠持有人自己完成。

TWT持有人的剩余风险

对TWT来说,这是一次声誉事件,而非资金事件:没有资金从合约中被抽走,代币本身也从未被触及。剩余风险存在于补丁无法闭合的缝隙里,目前没有任何公开数据说明还有多少台iPhone运行26.2或更旧的版本,也没有统计多少助记词仍躺在照片和笔记中。此类安全新闻往往会在中市值山寨币上引发短期的FUD情绪,关注盘面走势的读者可以跟踪我们的TWT技术分析报道。真正悬而未决的是行为层面的问题:只要助记词没有彻底离开手机,WebKit漏洞修得再干净,这场攻击活动能够触达的范围就不会归零。