Nagbabala ang SlowMist na maaaring inangkop ng mga attacker ang Darksword exploit chain upang makompromiso ang mga device na tumatakbo sa iOS 26.5 at makuha ang mga private key mula sa self-custody crypto wallets.
Sinabi ni 23pds, Chief Information Security Officer ng SlowMist, na ginagamit ng mga attacker ang Darksword upang malampasan ang security controls ng Apple, makakuha ng malawak na access sa mga apektadong iPhone, at mangolekta ng data mula sa mga locally installed na cryptocurrency wallet.
Ang naiulat na exposure sa iOS 26.5 ay hindi pa independiyenteng nakukumpirma ng Apple o Google. Ang inilathalang pananaliksik ng Google Threat Intelligence Group ay nagdokumento ng support para sa iOS versions 18.4 hanggang 18.7, habang sinabi ni 23pds na binago na ng mga attacker ang tool upang gumana laban sa mas bagong operating system.
Kinilala ng Google’s Threat Intelligence Group ang Darksword bilang isang full iOS exploit chain na pinagsasama ang anim na vulnerability upang makompromiso ang mga device at maghatid ng magkakahiwalay na malicious payload. Sinubaybayan ng kumpanya ang kaugnay na aktibidad mula hindi bababa sa Disyembre 2025 hanggang Marso 2026.
Ayon sa Google, ang orihinal na framework ay sumusuporta sa iOS 18.4 hanggang iOS 18.7. Isang flaw na ginamit laban sa mga device na may iOS 18.6 hanggang 18.7, na tinutukoy bilang CVE-2025-43529, ang nakaapekto sa JavaScriptCore, ang engine na nagpoproseso ng JavaScript sa Safari. Na-patch ng Apple ang flaw sa iOS 18.7.3 at iOS 26.2 matapos itong i-report ng Google.
Pinapalawak ng pinakabagong assessment ng SlowMist ang potensyal na exposure hanggang iOS 26.5, bagaman wala pang opisyal na kumpirmasyon sa pahayag ng security company. Walang technical analysis na binanggit sa babala ang nagtatag kung aling vulnerability o kapalit na exploit ang maaaring magbigay-daan sa Darksword na makompromiso ang mas bagong release.
Karaniwang sinisimulan ng mga attacker ang compromise sa pamamagitan ng social engineering, ayon kay 23pds. Nakatatanggap ang target ng link sa pamamagitan ng social network, messaging app, o ibang communication channel at binubuksan ang page sa Safari. Pagkatapos, sinusubukan ng malicious web content na i-exploit ang browser at iba pang bahagi ng iOS nang hindi na kailangang mag-install ng karaniwang application ang user.
Kapag naging matagumpay ang chain, maaaring makakuha ang attacker ng root-level control, ayon kay 23pds. Ang ganitong access ay maaaring magtanggal ng isolation na karaniwang pumipigil sa isang application na basahin ang mga file at credential na pag-aari ng iba, na naglalagay sa panganib sa mga private key at iba pang wallet record na nakaimbak sa device.
Nakakita ang Google ng ilang grupo na gumagamit ng Darksword na may iba’t ibang final-stage payload, sa halip na isang nakapirming malware. Depende sa campaign, maaaring mangolekta ang mga payload ng account details, mensahe, browser records, files, location history, naka-save na Wi-Fi data, at impormasyong nauugnay sa cryptocurrency wallets.
Ikinonekta ng security company ang magkakahiwalay na operasyon sa mga biktima sa Saudi Arabia, Turkey, Malaysia, at Ukraine. Iniugnay ng Google ang ilan sa aktibidad sa mga commercial surveillance provider at pinaghihinalaang state-linked groups, habang nakakita rin ang mga mananaliksik ng mga palatandaan na ang mga actor na may pinansyal na motibasyon ay nagkaroon ng access sa advanced iPhone exploitation tools.
Walang kabuuang bilang ng mga biktima o kumpirmadong halaga ng cryptocurrency na ninakaw sa pamamagitan ng Darksword ang kasama sa materyal na ibinigay ng SlowMist. Sa halip, nakatuon ang babala sa kakayahan ng framework na maabot ang wallet information matapos makompromiso ang device na pinaglalagyan nito.
Isang kahalintulad na paraan ng paghahatid ang lumitaw sa mas naunang mobile threat. Noong Marso, tinalakay ng crypto.news ang mga natuklasan ng Google tungkol sa Coruna, isang exploit kit na naglalaman ng 23 vulnerability sa limang attack chain. Target ng Coruna ang mga iPhone na tumatakbo sa iOS 13 hanggang iOS 17.2.1 at kayang maghanap sa mga file at larawan ng mga terminong gaya ng “backup phrase” at “bank account.”
Sinabi ng mga researcher ng Google na tine-test ng Coruna ang fingerprint ng device ng bisita bago pumili ng exploit na akma sa modelo ng iPhone at software version. Inilagay ng ilang operator ang kit sa mga pekeng gambling at cryptocurrency site, na nagpapahintulot na magsimula ang compromise kapag ni-load ng target ang page.
Hindi lamang Darksword ang kamakailang security threat na kinasasangkutan ng cryptocurrency data sa mga Apple device. Nagbabala ang Binance sa mga gumagamit ng iPhone at iPad noong Set. 19 tungkol sa malicious code na natagpuan sa FomoPeek versions 1.1 at 1.2.
Nadiskubre ng mga researcher na nagsuri sa app ang isang kernel exploitation framework na may walong attack method at may idineklarang support para sa iOS 12.0 hanggang 18.7.2 at iOS 26.0 hanggang 26.1. Ayon sa isang ulat tungkol sa FomoPeek, kayang tumakas ng mga malicious module sa iOS sandbox, i-decrypt ang Keychain data, at ma-access ang private keys, wallet recovery phrases, account credentials, at mga file na hawak ng ibang application.
Pinaalalahanan ng Binance ang sinumang nakapag-install ng mga apektadong version na alisin ang app, i-update ang iOS, at iwasang muling i-install ito. Pinayuhan din ang mga self-custody user na gumawa ng bagong wallet sa isang malinis na device at ilipat ang kanilang mga asset, dahil hindi mapoprotektahan ng pagbura ng malicious app ang isang wallet kung nakopya na ang private key o recovery phrase nito.
Iba ang rutang ginagamit ng Darksword dahil ang mga naidokumentong campaign nito ay umaasa sa mga malicious o nakompromisong website. Gayunman, kapwa kinapapalooban ang dalawang kaso ng mga pagtatangkang daigin ang mga kontrol na karaniwang pumipigil sa software na makakuha ng sensitibong records na nakaimbak sa ibang bahagi ng iPhone.
Pinayuhan ng SlowMist ang mga user na agad mag-install ng mga update sa mobile operating system at iwasang magbukas ng mga unsolicited link na ipinadala ng mga estranghero. Itinuturing din ng Google at Apple ang updated na software bilang pangunahing depensa dahil na-patch na ng Apple ang anim na vulnerability na naidokumento sa orihinal na Darksword chain.
Para sa mga crypto holder sa U.S., sumusunod ang babala sa Darksword sa isang hiwalay na alitan tungkol sa malicious wallet software na ipinamahagi sa opisyal na marketplace ng Apple. Naghain ng federal lawsuit ang tatlong mamumuhunan na nagsasabing may mga pekeng application na nagpapanggap bilang Sparrow Wallet na lumabas sa App Store at nagdulot ng humigit-kumulang $1.835 milyon na pagkalugi sa Bitcoin, ayon sa naunang coverage sa korte.
Ang mga alegasyon ng mga nagsasakdal ay tumutukoy sa mga mapanlinlang na application sa halip na browser-based exploit. Gayunpaman, umiikot pa rin ang kanilang kaso sa seguridad ng mobile distribution system ng Apple at sa pinsalang pinansyal na maaaring mangyari kapag pinagkatiwalaan ng mga user ang software na ipinapakita bilang lehitimong cryptocurrency wallet.
Isa pang pekeng application na nagpapanggap bilang Ledger Live ang umano’y nakapagnakaw ng hindi bababa sa $9.5 milyon mula sa mahigit 50 biktima sa pagitan ng Abril 7 at Abril 13. Sinubaybayan ng blockchain investigator na si ZachXBT ang mga pondo mula sa mga user ng Bitcoin, Ethereum, Solana, Tron, at XRP patungo sa mahigit 150 KuCoin deposit address at isang mixing service.
Hiniling ng pekeng Ledger application sa mga user na ilagay ang kanilang 24-word recovery phrases sa tila karaniwang wallet setup. Kalaunan ay inalis ng Apple ang listing, habang sinabi ng isang biktima na na-download niya ito habang kino-configure ang isang Ledger device sa isang bagong MacBook.
Hindi tulad ng Darksword chain, hindi na kinailangang basagin ng mapanlinlang na Ledger app ang security controls ng operating system. Nalantad ng mga user ang kanilang mga wallet sa pamamagitan ng paglalagay ng recovery phrases sa software na nagpapanggap, na nagbibigay sa mga operator nito ng kontrol sa bawat address na nagmula sa mga phrase na iyon.
ETH
BTC