Один переход по рекламе в Safari совпал с потерей $16 428 в криптовалюте сразу с трёх кошельков на iPhone 15. Случай произошёл 15 октября во время отдыха владелицы смартфона на Мальдивах. История привлекла внимание к взломам через браузер, которые не требуют установки приложений. Однако связь конкретной кражи с известным инструментом DarkSword пока остаётся предположением.
Согласно публикации, после открытия страницы с видео браузер перенаправил смартфон на незнакомый сайт. Никакие приложения не устанавливались, запросов на дополнительные разрешения не появлялось. Вскоре со счетов в сетях Tron и TON исчезли средства. Кошельки использовали разные фразы восстановления, а вход в приложения защищали пароли и Face ID.
Авторы разбора инцидента подсчитали, что с 10 по 28 октября через девять транзитных криптокошельков прошло 5,57 млн USDT. Из суммы 4,4 млн USDT поступили через адреса сборщиков, связанных с изучаемой сетью, ещё 1,17 млн пришли извне. Поэтому представлять все 5,57 млн долларов как подтверждённый ущерб владельцев Trust Wallet или жертв одной атаки нельзя.
В публикации также описаны сообщения о других списаниях с iPhone в октябре. Один пользователь сообщил о краже средств с устройства, отставшего от обновлений iOS на девять выпусков, другой заявил о потере почти 40 тысяч USDT. Совпадение времени и похожие признаки ещё не доказывают, что во всех случаях применяли одинаковый эксплойт или действовали одни злоумышленники.
Подозрение вызвал DarkSword, набор из шести уязвимостей, который позволяет атаковать некоторые версии iOS 18.4–18.7 через Safari. Вредоносный JavaScript запускает цепочку ошибок, выходит за пределы защиты браузера и получает расширенные права в системе. Известные варианты полезной нагрузки похищают пароли, сообщения, фотографии и данные криптокошельков.
В октябре специалисты Report URI обнаружили схему распространения DarkSword через сторонние скрипты интернет-магазинов. Злоумышленники перерегистрировали просроченный домен аналитического сервиса и направляли посетителей через рекламных посредников на поддельный криптосайт. Скрытая страница загружала эксплойт на подходящей версии iOS без дополнительных действий.
В извлечённом коде кампании нашли средства доступа к файлам более 25 криптовалютных приложений, включая Trust Wallet, MetaMask и Phantom. Однако в истории с потерей $16 428 нет опубликованного анализа заражённого iPhone или образца вредоноса. Поэтому версия об атаке DarkSword остаётся правдоподобной, но неподтверждённой. Само посещение сайта не устанавливает причину кражи.
Apple закрыла уязвимости DarkSword и в апреле расширила доступность защитного обновления iOS 18.7.7 для старых моделей iPhone. Разработчики советуют установить актуальную доступную версию системы. Если обновиться невозможно, Google рекомендует включить режим повышенной защиты Lockdown Mode, который ограничивает потенциально опасные функции браузера и других компонентов.