Kit de ataque para iPhone "DarkSword" podría ser utilizado para robar criptomonedas; Bitquery identifica un robo de aproximadamente 4,06 millones de dólares, la conexión no está confirmada

Puntos clave de este artículo

• Exploración de semillas a partir de fotos y notas, robo de claves privadas sin necesidad de aprobación
• Aproximadamente 4,06 millones de dólares fueron movidos desde la billetera 365 de Tron, la conexión no está confirmada

Kit de ataque que roba semillas sin aprobación

Se sospecha que el kit de ataque "DarkSword", que explota vulnerabilidades en iPhones, está siendo utilizado para robar de billeteras de criptomonedas. La empresa de análisis de blockchain Bitquery publicó el 5 de noviembre un análisis que indica que al menos 4,06 millones de dólares (aproximadamente 640 millones de yenes) en USDT fueron movidos desde la billetera 365 en Tron (TRON) a través de una red de robo sospechosa.

DarkSword tiene como principales objetivos a los iPhones que ejecutan iOS 18.4 a 18.7. La simple apertura de un sitio web manipulado en Safari puede llevar a un ataque exitoso, por lo que los investigadores están instando a los usuarios a actualizar su iOS a la última versión.

El grupo de inteligencia de amenazas de Google (GTIG) y las empresas de seguridad Lookout e iVerify publicaron simultáneamente un análisis sobre DarkSword el 18 de marzo. Este kit combina seis vulnerabilidades para tomar control del dispositivo y extraer contraseñas, mensajes y datos de aplicaciones de billeteras de criptomonedas almacenados en el llavero, sin necesidad de aprobación para la descarga o la operación.

Según un informe publicado en octubre por la empresa de seguridad Censys, el kit incluye módulos que apuntan a 18 aplicaciones de billetera de forma individual y también tiene la capacidad de buscar semillas (frases de recuperación) a partir de fotos y aplicaciones de notas. Las aplicaciones objetivo incluyen MetaMask, Phantom, Trust Wallet y Coinbase.

No se trata de fallos en las aplicaciones en sí, sino de la explotación de vulnerabilidades en el dispositivo, y Censys analiza que el principal objetivo es el robo de billeteras.

Los atacantes utilizan las claves privadas o semillas robadas para firmar y enviar fondos desde su propio dispositivo. A diferencia de las estafas de phishing tradicionales que requieren la aprobación de la conexión o transacciones de la billetera del usuario, en este caso no ocurre ninguna de estas aprobaciones.

No se puede prevenir el robo de semillas mediante la revocación de aprobaciones o la reinstalación de aplicaciones; la única forma de proteger los fondos si se roba la semilla es mover los activos a una nueva billetera creada con una nueva semilla.

Aproximadamente 4,06 millones de dólares fueron movidos en Tron

Bitquery rastreó el flujo de fondos a partir de una transacción que coincidía en monto y tiempo con un usuario de iPhone que reportó el robo.

Entre el 5 de octubre y el 4 de noviembre (UTC), 43 direcciones de recolección que estaban conectadas a la misma billetera de tarifas movieron fondos desde la billetera 365 (de las cuales 89 solo sufrieron pérdidas en TRX). La mediana de las pérdidas de las 276 direcciones que perdieron USDT fue de 1,029 dólares, y 8 direcciones que perdieron más de 100,000 dólares representaron el 63% del total de pérdidas en USDT.

Sin embargo, Bitquery señala que no puede determinar a partir de los registros en cadena qué dispositivos o aplicaciones de billetera estaban utilizando los afectados, por lo que no se puede confirmar que todas las pérdidas sean atribuibles a la vulnerabilidad del iPhone o a DarkSword. Hasta el momento, no se ha confirmado si los usuarios en Japón han sufrido pérdidas.

Para enviar USDT en Tron, se requiere TRX como tarifa. Según Bitquery, primero se envía una pequeña cantidad de TRX a la dirección de la víctima, y segundos después se transfiere el saldo total. La llegada de una pequeña cantidad de TRX desde una dirección desconocida puede ser una señal de alerta.

Las pequeñas transferencias pueden ser parte de una técnica llamada "envenenamiento de direcciones", que implica mezclar direcciones similares en el historial para inducir a errores en las transferencias, y en ambos casos es fundamental no copiar la dirección de destino desde el historial de transacciones.

iOS corregido y medidas para los usuarios

Las seis vulnerabilidades utilizadas por DarkSword han sido corregidas en iOS 26.3 y se abordaron en la versión 18.7.7 de iOS 18. Apple lanzó el 26 de octubre iOS 27.2, que corrige más de 160 vulnerabilidades.

Ese mismo día, también se proporcionó iOS 26.7.2 para dispositivos que no han migrado a iOS 27, así como iOS 18.7.11 para dispositivos más antiguos como el iPhone XS y XR. Las actualizaciones se pueden realizar desde "Configuración" en la aplicación "General" en "Actualización de software". Las notificaciones de actualización que aparecen en el navegador pueden ser fraudulentas.

Para los usuarios de billeteras de custodia propia, la forma en que se almacenan las semillas puede influir en el riesgo de sufrir pérdidas. Se recomienda no guardar semillas en fotos, capturas de pantalla, aplicaciones de notas o en la nube, sino almacenarlas de forma offline en papel o en placas de metal.

Las semillas que se han fotografiado en el pasado pueden haber quedado en iCloud en fotos, en "Elementos eliminados recientemente" o en copias de seguridad de iCloud. También es posible gestionar grandes cantidades de activos en una billetera de hardware y dejar solo la cantidad que se usa regularmente en el teléfono inteligente.

Si se ha guardado la semilla en el dispositivo o se ha abierto un sitio sospechoso en una versión vulnerable de iOS, se recomienda crear una nueva billetera con una nueva semilla en un dispositivo confiable y actualizado, y mover los activos. Bitquery también insta a mover los activos inmediatamente si se recibe una pequeña cantidad de TRX desde una dirección desconocida.

Los usuarios de aplicaciones de intercambio tampoco están exentos. Dado que las contraseñas del llavero pueden ser robadas, si se ha utilizado una versión vulnerable de iOS, cambiar la contraseña del intercambio es una opción.

La autenticación de dos factores es preferible a través de aplicaciones de autenticación o claves de seguridad en lugar de SMS, y algunos intercambios permiten establecer restricciones en las direcciones de retiro. Las personas con grandes cantidades de criptomonedas o aquellos en la industria también deberían considerar habilitar el modo de bloqueo. GTIG recomienda habilitar el modo de bloqueo como una medida para dispositivos que no pueden actualizarse.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.