Güvenlik şirketi CertiK, güncellenmemiş iPhone'larda kripto cüzdanlarını hedef alan saldırılara karşı kullanıcıları uyardı. Ele geçirilen cihazlardaki kurtarma ifadeleri ve şifreler, saldırganların cüzdanları tamamen boşaltmasına imkân verebiliyor.
CertiK, X hesabından yaptığı paylaşımda DarkSword adlı iOS saldırı kitinin yeni bir sürümünün kripto cüzdanlarına yönelik saldırılarda kullanıldığını açıkladı. Şirket, "Safari'de zararlı bir siteyi açmak bile yetebilir. Cüzdan bağlantısı ya da imza gerekmiyor." ifadelerini kullandı.
DarkSword, iOS 18.4 ile 18.7 arasındaki sürümleri çalıştıran iPhone'ları altı güvenlik açığını birleştirerek ele geçiriyor. Saldırı kiti, Anahtar Zinciri verilerine ulaşabiliyor ve kurtarma ifadeleri için Fotoğraflar ile Notlar uygulamalarını tarayabiliyor. CertiK'in listesinde MetaMask, Trust Wallet, Phantom, Exodus ve Coinbase gibi cüzdanlar yer alıyor.
Google Tehdit İstihbaratı Grubu, saldırı zincirini 18 Mart'ta yayımladığı araştırmada belgelemişti. Google, DarkSword saldırılarının Suudi Arabistan, Türkiye, Malezya ve Ukrayna'daki kişileri hedef aldığını tespit etmişti. Şirkete göre açıkların tamamı iOS 26.3 sürümüyle kapatıldı.
Mobil güvenlik şirketi iVerify'ın ekimde açıkladığı P7 sürümü, cihazdaki cüzdan uygulamalarını tespit edebiliyor ve imToken cüzdanından veri çekebiliyor. Casus yazılım, komut almak için saldırganların sunucusuna varsayılan olarak her 15 saniyede bir bağlanıyor.
Saldırılar yalnızca zararlı bağlantılarla yayılmıyor. Araştırmacılar, Dünya Kupası temalı bir Instagram reklamının akışını kaydıran bir çalışanın cihazına bulaştığını belgeledi. Süresi dolmuş alan adlarını satın alan saldırganlar, binlerce sitedeki eski entegrasyonlar üzerinden ziyaretçileri zararlı sayfalara yönlendirdi.
Zincir üstü verileri inceleyen bir analiz, DarkSword'la ilişkilendirdiği saldırılarda bir ay içinde 365 Tron cüzdanından en az 4,06 milyon dolar değerinde Tether'in stablecoini USDT çekildiğini öne sürdü. Ancak zincir üstü kayıtlar, mağdurların hangi cihazı ya da cüzdan uygulamasını kullandığını göstermiyor.
CertiK, kullanıcılara iOS'u güncellemelerini, bilinmeyen bağlantılardan uzak durmalarını ve kurtarma ifadelerini fotoğraf, not ya da ekran görüntüsü olarak saklamamalarını önerdi. Büyük tutarlar için donanım cüzdanı, yüksek risk taşıyan kullanıcılar için ise Apple'ın Kilitleme Modu tavsiye ediliyor.
Şirket, cihazının ele geçirildiğinden şüphelenenlere fonlarını temiz ve güncel bir cihazda oluşturulan yeni bir cüzdana taşımalarını ve eski kurtarma ifadesini bir daha kullanmamalarını tavsiye ediyor. CertiK ayrıca saldırı kitinin kaynak kodunun satışa çıkarıldığına dair raporlar bulunduğunu belirtti.
Güvenlik araştırmacısı Felix Fan, şimdiye kadar oltalama saldırılarında belirgin bir artış görmediğini söyledi. Fan, cihaz iOS 18 ya da daha eski bir sürümde kaldıkça cüzdan değiştirmenin sorunu çözmeyeceği uyarısında bulundu.