GoPlus Security警示:56.1万美元iOS钱包盗窃波及Trust Wallet用户

Trust Wallet用户受影响最重

过去两周,在iOS设备上自行托管资产的加密货币钱包用户被盗金额约56.1万美元,安全团队GoPlus Security将这批攻击归因于未打补丁的旧版iPhone系统。统计结果于11月5日发布,数据来自链上调查志愿者组织SEAL(安全联盟)收集的案件档案,其最新一期周报覆盖10月28日至11月3日。仅这一周就新增6起iOS钱包入侵报告,涉案约12.7万美元。受害者中大多数把资产放在Trust Wallet,同一周报还记录了1起Uniswap Wallet案例。SEAL的报告指出,受害者主要分布在俄罗斯、乌克兰和哈萨克斯坦。GoPlus的警示把这波盗窃与针对旧版iOS系统的犯罪活动联系起来:攻击者利用不再收到安全补丁的系统漏洞,获取设备数据和权限,再把资金通过链上转走。整个过程不需要受害者签名任何交易,也不需要读出助记词。热钱包的私钥本身就保存在手机里,攻击者一旦拿到高权限,就能在后台悄悄清空余额。这正是为何从未访问过可疑网站的用户也出现损失。GoPlus因此呼吁所有在iPhone上持有资产的用户立即更新系统,并排查已安装的应用;装过不明软件的用户应把设备视为已被攻陷,将剩余资产尽快转移。相关案件连续出现在SEAL两期周报中,GoPlus正是基于这些档案汇总出两周的整体图景,而非某一起孤立事件。

GoPlus Security在X平台发布的两周钱包盗窃警示

DarkSword与Coruna攻击套件

这些数字背后是一套具体的攻击工具。SEAL周报引用了Censys在10月的扫描观测,显示名为DarkSword和Coruna的漏洞利用套件早已瞄准钱包应用。这两条攻击链都能通过Safari或恶意应用攻陷旧版iOS系统,目标直指主流钱包存放在设备上的私钥和助记词。GoPlus强调,攻击活动依赖未打补丁的系统,处于易受攻击版本区间的手机即使从未导出助记词、从未确认过转账,也可能被清空。事实上,趋势一周前就已显现:SEAL上一期周报指出Trust Wallet iOS案例急剧上升,并怀疑DarkSword通过恶意广告投放,这与最新统计相互印证。两次报告的重叠为攻击活动定下了时间线:Trust Wallet案件的激增早于10月28日至11月3日记录的6起新案,而最新一期已是连续第二期周报出现同一模式。随数据一并给出的建议也很具体。GoPlus要求用户升级到最新iOS版本,缩短设备停留在已知漏洞区间的时间,同时检查已安装应用中有无不明或新近加入的程序,尤其是那些在社交媒体上推广、要求手机长时间保持活跃才能领取奖励的工具。官方还建议在干净设备上重建钱包并转移剩余资产,这等于把任何接触过被攻陷手机的密钥视为已作废。想自行判断此类安全披露的读者,可以从我们的区块链安全审计指南入手。值得一提的是,该钱包今年已历经多次安全风波,包括团队称无需用户操作的严重PHP漏洞,以及此前流传的假冒Trust Wallet网站警告。

SEAL与GoPlus描述的攻击模式本质上是设备被攻陷,而非钱包代码本身的缺陷。Trust Wallet和Uniswap Wallet出现在报告中,只是因为它们在iPhone上装机量很大,入侵路径实际经由操作系统。对持有人而言,可行的应对是缩短设备停留在旧版iOS的时间,把陌生应用视为潜在威胁,并将长期持仓转入永不联网存放密钥的硬件钱包。SEAL最新统计截至11月3日,GoPlus的警示在两天后发布,从最后一个记录在案的盗窃窗口到公开警报,间隔之短说明该攻击活动仍在进行中。