Відповідь проста: через вразливість в iOS 18, яка не потребує від жертви жодних дій, окрім відкриття сторінки в Safari. Ні підключення гаманця, ні підтвердження транзакції — код запускається у фоні сам.
Йдеться про експлойт DarkSword, який за даними дослідників вже коштував власникам криптогаманців на iOS 18 понад $5,57 млн. Користувачі криптогаманців на пристроях з iOS 18 втратили $5,57 мільйона через експлуатацію вразливості DarkSword, а представник юридичної фірми Legalblock заявив, що зловмисники використовують заражені сайти для дорослих, щоб отримати доступ до даних смартфона.
Як працює атака
Механіка — класичний watering hole, тільки замість фішингу з проханням ввести seed-фразу жертва просто заходить на звичайний на вигляд сайт. Злоумышленнику достаточно, чтобы жертва открыла вредоносную страницу в Safari, не требуя скачивания файлов или подтверждения каких-либо действий. Далі експлойт може отримати доступ до гаманців і перехопити сид-фрази, після чого зловмисник підписує перекази вже на своєму пристрої.
Дослідники зафіксували конкретний масштаб проблеми за короткий період спостереження. За 18 днів спостереження — з 10 по 28 жовтня — через дев'ять спільних транзитних гаманців мережі пройшло 5,57 мільйона USDT.
Під атаку підпадають гаманці, якими реально користується більшість крипто-аудиторії. Censys раніше перелічила список цілей: Bitpie, Coinbase, Exodus, imToken, MetaMask, Phantom, Trust Wallet, Uniswap та OKEx. У кожному з модулів — окрема логіка під конкретний додаток, і експлойт-кіт містить 18 модулів для гаманців, включно з MetaMask, Phantom, Trust Wallet, Coinbase, Exodus, imToken та Bitpie.
Хто вже постраждав
Випадки з конкретними цифрами вже публікують самі жертви та крипто-медіа. Один користувач, Артур Романчук, звинуватив експлойт DarkSword iOS у втраті 68 327 USDT після того, як його iPhone був скомпрометований, а своє приватне ключове слово він вважає викраденим саме через цей вектор. Є і свіжіший кейс 15 жовтня: користувачка, на ім'я Марія Дорвей втратила 16 428 USDT зі свого Tron-гаманця, перейшовши за рекламним банером на незнайомий сайт на iPhone 15 з iOS 18, а кошти також зникли з трьох інших гаманців із різними seed-фразами.
Зачепило й користувачів у СНД: за даними одного з розслідувань, у постраждалої в Trust Wallet зберігалася криптовалюта Bitcoin, Tron, Ethereum і Cardano, невідомі всього за 3 хвилини вивели 60% її заощаджень, а загальний збиток склав близько 800 тисяч рублів. На її iPhone, за цими даними, була встановлена iOS 18.6.1 — версія, уразлива для атак DarkSword і Coruna.
Чому це особливо небезпечно
Головна проблема DarkSword — у нульовій взаємодії з жертвою. Традиційна порада «не підключай гаманець до підозрілих сайтів» тут не працює, бо вразливість дозволяє шкідливому коду запускатись у фоні без підключення гаманця чи будь-якого підтвердження підпису, а зловмисники можуть красти паролі, фото, файли, приватні ключі або recovery-фрази криптогаманців.
Масштаб кампанії теж не невеликий: щонайменше 18 шкідливих сайтів вже ідентифіковано, а збитки сягають $5,57 мільйона з понад 20 гаманців. При цьому DarkSword — не новина останнього тижня: його розкрили ще в березні Google Threat Intelligence Group, Lookout та iVerify, які описали шестивразливий ланцюжок в iOS, що атакує версії від 18.4 до 18.7. У жовтні ситуація ускладнилась ще сильніше: дослідницька компанія Censys знайшла п'ять відкритих серверів з робочою платформою експлуатації DarkSword і Coruna, а сам інструмент почали продавати на тіньових майданчиках за $30 тис.
Що робити вже зараз
Apple закрила вразливості, але не одразу і не всюди. Виправлення вийшли в iOS 18.6, 18.7.2, 18.7.3, а також 26.1–26.3, і всі шість вразливостей закриті станом на iOS 26.3. Тобто будь-хто на застарілій прошивці 18.4–18.6.2 (а частково і раніше) лишається в зоні ризику.
Реакція ринку показова: навіть співзасновник Binance публічно наголосив, що апдейт — не опція. Чанпен Чжао закликав користувачів iPhone оновити операційні системи на тлі попереджень, що DarkSword може викрадати дані криптогаманців через скомпрометовані сайти, і підкреслив, що атака здатна зачепити чутливі дані пристрою навіть без підключення гаманця чи підтвердження транзакцій.
🖋 UAFF — будь в курсі арбітражних інсайтів