DarkSword iPhone漏洞威胁加密钱包安全，CertiK发出警告_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

DarkSword iPhone漏洞威胁加密钱包安全，CertiK发出警告

2026-11-07 04:52:44

CertiK警告：攻击者利用新版DarkSword iOS漏洞套件针对未修补的iPhone加密钱包

CertiK发出警告，指出攻击者正在使用更新版本的DarkSword iOS漏洞套件，专门针对尚未打补丁的iPhone上的加密钱包。研究表明，用户仅需在Safari浏览器中打开一个恶意网页，就足以导致设备被攻破。

核心风险与受影响范围

根据Google Threat Intelligence Group的记录，支撑DarkSword攻击链的底层漏洞共有六处，主要影响iOS 18.4至18.7版本系统。其中，P7版本的DarkSword具备扫描钱包、收集凭证以及在受控手机上执行远程命令的能力。

研究人员观察到，恶意广告正通过用户在浏览Instagram信息流时进行传播。CertiK建议用户立即更新iOS系统，并将暴露的资金转移至使用全新助记词（恢复短语）的新钱包中。

CertiK在11月6日的警告中指出，此次攻击无需用户连接钱包或批准交易。据报道，MetaMask、Trust Wallet、Phantom、Exodus和Coinbase等应用均被列为目标，此外，存储在手机其他位置的密码和助记词也面临泄露风险。

“只需在Safari中打开恶意网站即可：无需连接钱包，也无需签名。”这家安全公司写道。

DarkSword如何利用六个漏洞攻破iPhone

Google威胁情报小组于3月18日发布的研究文件详细记录了一条支持iOS 18.4至18.7版本的攻击链。攻击者通过组合利用六个漏洞，能够控制设备并安装用于收集敏感信息的软件。

Google识别出成功利用后交付的三类恶意软件家族：GHOSTBLADE、GHOSTKNIFE和GHOSTSABER。它们的功能各不相同，部分支持远程命令执行，而另一些则在不持续运行的情况下收集数据。

GHOSTBLADE收集的信息包括加密货币钱包数据、设备钥匙串（Keychain）、消息记录、浏览器信息、备忘录数据库以及个人媒体文件。Google观察到针对沙特阿拉伯、土耳其、马来西亚和乌克兰人员的活动，涉及商业监控供应商和疑似国家支持的行动者。

该活动最早可追溯至2025年11月。Google表示，已于同年年底向苹果报告了这些漏洞，并在iOS 26.3发布前全部得到修补，大多数漏洞在更早之前已修复。

其研究结果描述的是针对易受攻击操作系统的攻击，而非要求受害者通过加密应用程序授权访问。

P7 DarkSword赋予攻击者对数据收集的远程控制

移动安全公司iVerify在10月8日的一份报告中披露了P7变体，该报告基于8月在客户设备上检测到的一起感染事件进行的调查。

研究人员回收了一种间谍软件变体，对其进行了修改以降低自身特征、提高稳定性，并支持与攻击者控制的服务器进行双向通信。P7移除了部分日志记录功能，减少了进程注入，并利用浏览器存储来防止重复利用同一漏洞。

其命令列表中包含识别已安装钱包应用程序的功能，以及从imToken中提取钱包相关数据的功能。其他命令则用于收集Apple备忘录数据库、照片、应用程序文件和设备信息。

默认情况下，植入程序每15秒检查一次服务器的指令，尽管操作员可以更改该间隔。图表显示的是请求指令的频率，而非窃取资金或提取钱包内容的固定时间表。

iVerify指出，与早期版本将钥匙串数据库发送出去进行处理不同，P7在传输前会在手机端处理钥匙串信息。

恶意广告实现无点击传播

iVerify和Report URI在10月21日的联合调查中记录了通过恶意广告和被遗弃的网站集成方式进行传播的情况。

在一例案例中，一条世界杯主题的Instagram广告在员工浏览信息流时感染了其设备。随后，另一组攻击者通过携带另一种DarkSword变体的恶意链接攻击了同一名员工。

Report URI追踪到一个名为DeadTag的活动，该活动利用了此前由分析和广告服务使用的过期域名。攻击者购买了这些域名，并利用仍嵌入在网站中的集成代码将访问者重定向。

研究人员确定了数百个重新注册的域名，这些域名嵌入在数千个网站中。其观察到的网络每月接收1.35亿次访问量，这一流量估计涵盖了当访客满足攻击者条件时可投放漏洞利用代码的网站。

调查还包括一个伪造的Polymarket页面，该页面同时投递了Coruna和P7版本的DarkSword。报告描述了当恶意内容加载到易受攻击的设备上时发生的自动感染过程。

CertiK敦促用户更换已暴露的助记词

CertiK建议iPhone用户通过“设置”、“通用”和“软件更新”安装可用更新，避免点击未知链接，并将种子短语（助记词）保存在照片、备忘录和截图之外。

其建议包括：对于大额持有者使用硬件钱包；对于高风险用户使用“锁定模式”（Lockdown Mode）。如果无法更新系统，Google也推荐启用锁定模式。

对于怀疑已被感染的情况，CertiK指示用户将资金转移至在干净且已更新设备上创建的新钱包，并永远不要重用旧的种子短语。

另外，iVerify建议更改存储在受影响手机钥匙串中的密码。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文