iPhone攻擊工具「DarkSword」，疑似被用於虛擬貨幣盜竊，比特查詢確認盜竊網絡約406萬美元

本文要點

• 從照片和備忘錄中尋找種子，無需批准即可竊取私鑰
• 從TRON的365錢包中轉移約406萬美元，相關性尚未確定

無需批准即可竊取種子的攻擊工具

針對iPhone的漏洞進行攻擊的工具「DarkSword」，疑似被用於虛擬貨幣錢包的盜竊。區塊鏈分析公司比特查詢（Bitquery）於5日發佈分析，指出在疑似相關的盜竊網絡中，至少406萬美元（約6.4億日元）相當的USDT已從TRON（TRON）上的365個錢包中轉移。

DarkSword主要針對搭載iOS 18.4至18.7的iPhone。僅需在Safari中打開經過篡改的網站即可發動攻擊，因此研究人員呼籲用戶將iOS更新至最新版本。

谷歌的威脅情報小組（GTIG）和安全公司Lookout、iVerify於3月18日同時發佈了關於DarkSword的分析。該工具結合了六個漏洞來劫持設備，竊取保存在鑰匙鏈中的密碼、信息和虛擬貨幣錢包應用的數據，無需下載或操作的批准。

安全公司Censys在10月發佈的報告中指出，該工具包含18個針對不同錢包應用的模組，並具備從照片和備忘錄應用中尋找種子（恢復短語）的功能。目標包括MetaMask、Phantom、Trust Wallet和Coinbase等應用。

這些攻擊並非應用本身的缺陷，而是利用設備端的漏洞，Censys分析認為其主要目的是盜竊錢包。

攻擊者使用竊取的私鑰或種子，在自己的設備上簽名並進行轉賬。受害者的錢包連接或交易批准完全不會發生，這是與傳統釣魚攻擊要求不正當批准的重大區別。

撤銷批准或重新安裝應用無法防止此類攻擊，若種子被竊取，保護資金的手段僅限於將資產轉移到新種子創建的錢包中。

在TRON上轉移約406萬美元

比特查詢追蹤了受害者公佈的iPhone用戶的一筆交易，該交易的金額和時間一致，作為資金流動的起點。

在10月5日至11月4日（UTC）期間，43個收集地址與同一手續費用錢包和資金有關聯，從365個錢包中轉移資金（其中僅TRX的受害事件有89件）。失去USDT的276個地址的受害金額中位數為1,029美元，其中8個地址損失超過10萬美元，佔USDT總損失的63%。

不過，比特查詢表示，無法從鏈上記錄中得知各受害者的設備或錢包應用，因此無法確認所有損失是否由iPhone的漏洞或DarkSword造成。目前也尚未確認日本國內的用戶是否受到影響。

在TRON上發送USDT需要支付TRX作為手續費。比特查詢指出，受害者的地址首先會收到少量的TRX，幾秒鐘後再轉移全部餘額。來自不明地址的少量TRX入賬可能成為警戒信號。

少量入賬中，還可能存在地址中毒的手法，即將類似地址混入歷史中誘導錯誤轉賬，無論哪種情況，基本原則是不要從交易歷史中複製轉賬地址。

修正版iOS和用戶的對策

DarkSword使用的六個漏洞已在iOS 26.3中修復，iOS 18系列則在18.7.7中處理。蘋果於10月26日發布了iOS 27.2，修復了超過160個漏洞。

同日，還為未升級至iOS 27的設備提供了iOS 26.7.2，以及針對iPhone XS和XR等舊設備的iOS 18.7.11。更新可通過「設定」應用中的「一般」選項下的「軟體更新」進行。瀏覽器上顯示的更新提示可能存在詐騙的風險。

對於自我保管的錢包用戶而言，種子的保管方式將影響受害情況。建議不要將其保存在照片、截圖、備忘錄應用或雲端中，而應以紙張或金屬板等離線方式保存。

過去拍攝的種子可能仍保留在iCloud的照片中或「最近刪除的項目」、iCloud備份中。將大量資產管理在硬體錢包中，並僅在智能手機上保留日常使用的金額也是一種方法。

如果種子保存在設備中，或在脆弱的iOS上打開了可疑網站，建議在已更新的可信設備上創建新的種子錢包並轉移資產。比特查詢也呼籲，若收到來自不明地址的少量TRX，應立即轉移資產。

交易所應用的用戶也並非無關緊要。由於鑰匙鏈中的密碼可能被竊取，若使用脆弱的iOS，則更改交易所的密碼成為一個選擇。

二步驟驗證應優先使用認證應用或密碼鑰匙，而非SMS，某些交易所也可以設置提現地址的登記限制。持有大量虛擬貨幣的人或行業相關人士，應考慮啟用鎖定模式。GTIG建議將鎖定模式作為無法更新設備的對策。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。