Ответ прост: из-за уязвимости в iOS 18, которая не требует от жертвы никаких действий, кроме открытия страницы в Safari. Ни подключения кошелька, ни подтверждения транзакции — код запускается в фоне сам.
Речь идет об эксплойте DarkSword, который, по данным исследователей, уже стоил владельцам криптокошельков на iOS 18 более $5,57 млн. Пользователи криптокошельков на устройствах с iOS 18 потеряли $5,57 миллиона из-за эксплуатации уязвимости DarkSword, а представитель юридической фирмы Legalblock заявил, что злоумышленники используют зараженные сайты для взрослых, чтобы получить доступ к данным смартфона.
Как работает атака
Механика — классический watering hole, только вместо фишинга с просьбой ввести seed-фразу жертва просто заходит на обычный на вид сайт. Злоумышленнику достаточно, чтобы жертва открыла вредоносную страницу в Safari, не требуя скачивания файлов или подтверждения каких-либо действий. Далее эксплойт может получить доступ к кошелькам и перехватить сид-фразы, после чего злоумышленник подписывает переводы уже на своем устройстве.
Исследователи зафиксировали конкретный масштаб проблемы за короткий период наблюдения. За 18 дней наблюдения — с 10 по 28 октября — через девять общих транзитных кошельков сети прошло 5,57 миллиона USDT.
Под атаку подпадают кошельки, которыми реально пользуется большинство крипто-аудитории. Censys ранее перечислила список целей: Bitpie, Coinbase, Exodus, imToken, MetaMask, Phantom, Trust Wallet, Uniswap и OKEx. В каждом из модулей — отдельная логика под конкретное приложение, и эксплойт-кит содержит 18 модулей для кошельков, включая MetaMask, Phantom, Trust Wallet, Coinbase, Exodus, imToken и Bitpie.
Кто уже пострадал
Случаи с конкретными цифрами уже публикуют сами жертвы и крипто-медиа. Один пользователь, Артур Романчук, обвинил эксплойт DarkSword iOS в потере 68 327 USDT после того, как его iPhone был скомпрометирован, а свое приватное ключевое слово он считает украденным именно через этот вектор. Есть и свежий кейс 15 октября: пользовательница, на имя Мария Дорвей, потеряла 16 428 USDT со своего Tron-кошелька, перейдя по рекламному баннеру на незнакомый сайт на iPhone 15 с iOS 18, а средства также исчезли с трех других кошельков с разными seed-фразами.
Затронуло и пользователей в СНГ: по данным одного из расследований, у пострадавшей в Trust Wallet хранилась криптовалюта Bitcoin, Tron, Ethereum и Cardano, неизвестные всего за 3 минуты вывели 60% ее сбережений, а общий ущерб составил около 800 тысяч рублей. На ее iPhone, по этим данным, была установлена iOS 18.6.1 — версия, уязвимая для атак DarkSword и Coruna.
Почему это особенно опасно
Главная проблема DarkSword — в нулевой взаимодействии с жертвой. Традиционный совет «не подключай кошелек к подозрительным сайтам» здесь не работает, потому что уязвимость позволяет вредоносному коду запускаться в фоне без подключения кошелька или любого подтверждения подписи, а злоумышленники могут красть пароли, фото, файлы, приватные ключи или recovery-фразы криптокошельков.
Масштаб кампании тоже не маленький: как минимум 18 вредоносных сайтов уже идентифицировано, а убытки достигают $5,57 миллиона с более чем 20 кошельков. При этом DarkSword — не новость последней недели: его раскрыли еще в марте Google Threat Intelligence Group, Lookout и iVerify, которые описали шестивразливый цепочку в iOS, что атакует версии от 18.4 до 18.7. В октябре ситуация усложнилась еще сильнее: исследовательская компания Censys нашла пять открытых серверов с рабочей платформой эксплуатации DarkSword и Coruna, а сам инструмент начали продавать на теневых площадках за $30 тыс.
Что делать уже сейчас
Apple закрыла уязвимости, но не сразу и не везде. Исправления вышли в iOS 18.6, 18.7.2, 18.7.3, а также 26.1–26.3, и все шесть уязвимостей закрыты состоянием на iOS 26.3. То есть любой на устаревшей прошивке 18.4–18.6.2 (а частично и ранее) остается в зоне риска.
Реакция рынка показательная: даже соучредитель Binance публично подчеркнул, что апдейт — не опция. Чанпен Чжао призвал пользователей iPhone обновить операционные системы на фоне предупреждений, что DarkSword может похищать данные криптокошельков через скомпрометированные сайты, и подчеркнул, что атака способна затронуть чувствительные данные устройства даже без подключения кошелька или подтверждения транзакций.
🖋 UAFF — будь в курсе арбитражных инсайтов