darksword

ChainCatcher 消息，区块链安全公司 SlowMist 首席信息安全官 23pds 表示，攻击者正利用 Darksword 漏洞，通过 Safari 绕过 iOS 安全机制，控制设备并提取自托管加密钱包中的私钥及其他数据。该漏洞曾被用于针对沙特、土耳其、马来西亚和乌克兰用户的攻击。Google Threat Intelligence Group 此前披露，Darksword 最初仅影响 iOS 18.4 至 18.7 版本。23pds 称，攻击者已将其适配至 iOS 26.5，但这一判断尚未获得官方验证。攻击通常始于社会工程，用户点击通过社交媒体或通信应用发送的恶意链接后，设备可能被取得 Root 权限并提取钱包数据。用户应及时更新手机系统，避免访问陌生人发送的网站链接；另有三名投资者因从苹果官方 App Store 下载虚假钱包应用损失近 180 万美元比特币，已对苹果提起诉讼。

ChainCatcher 消息，据慢雾安全团队披露，其监测到一项伪装成免费 VPS 服务的攻击活动，专门针对运行 iOS 18.4 至 18.6.2 版本的 iPhone Safari 浏览器发起攻击。攻击者利用代号为 DarkSword 的六个漏洞形成完整攻击链，涵盖 WebKit 远程代码执行、沙箱逃逸及内核读写等环节，可在用户无感知的情况下获取 App 容器文件、钥匙串数据，并在 imToken、TokenPocket 或 TronLink 等钱包处于前台时记录键盘输入。慢雾团队表示，上述 6 个漏洞目前均已被 Apple 修复，当前攻击属于 n-day 漏洞链的复用。仅访问恶意页面并不能直接证明助记词或私钥已被窃取，仍需通过设备取证进行确认。建议 iOS/iPadOS 用户尽快将系统升级至 18.7.3 或 26.3 及以上版本。

ChainCatcher 消息，慢雾余弦社交媒体表示，高危 iOS 攻击框架 DarkSword 已在 GitHub 等渠道公开泄露，正被用于针对加密货币钱包持有人的大规模窃密攻击。 该攻击程序针对 iOS 18.4 至 18.7 版本设备，通过恶意网页利用 Safari 浏览器漏洞实现远程代码执行，进而窃取用户敏感数据。攻击者利用假冒色情直播、波场能量站、退款流程等诱饵网页发起攻击。 运行旧版 iOS 的 iPhone 用户一旦使用 Safari 浏览器访问此类网页（即使未关闭页面），后续解锁钱包 App 时，明文私钥及助记词等敏感信息就可能被恶意 JavaScript 代码窃取，经 Telegram 机器人等通道实时回传。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 在 X 平台发文提醒称，所有用户请及时更新 iOS 系统，DarkSword 攻击程序已经泄漏，其核心能力为：通过 HTTP 接口从 iOS 设备中提取取证级数据。 在实际攻击中，攻击者可结合社工或水坑攻击诱导用户中招，进而窃取 iPhone/iPad 内数据，并上传至攻击者控制的服务器。

ChainCatcher 消息，据 Google Threat Intelligence Group 监测，一种名为 DarkSword 的 iOS 漏洞利用链正针对运行 iOS 18.4 至 18.7 版本的 iPhone 手机。 攻击者利用受损网站部署名为 Ghostblade 的恶意软件，该程序专门搜索并窃取加密货币 CEX（包括 Coinbase、Binance、Kraken、Kucoin、OKX、MEXC）及钱包应用（包括 Ledger、Trezor、MetaMask、Exodus、Uniswap、Phantom 和 Gnosis Safe）的数据。 此外，Ghostblade 还会同步窃取短信、iMessage、联系人、Wi-Fi 密码、地理位置以及 Telegram 和 WhatsApp 的聊天记录等敏感信息。该恶意软件旨在进行快速数据窃取，在完成采集后会自动删除临时文件并终止运行。目前相关攻击活动已在沙特阿拉伯、土耳其、马来西亚和乌克兰等地被观察到。