CertiKが警告、DarkSword攻略キットはiOSの6脆弱性で仮想通貨ウォレットを狙う

署名も接続も不要な攻撃形態

セキュリティ企業のCertiKは11月6日、X上の警告で、iPhone向け攻略キットDarkSwordの更新版が、未パッチのiPhoneを侵害し端末内の仮想通貨ウォレットを露出させると注意を促した。ウォレットの接続も取引の承認も一切必要としない点が特徴だ。同社によれば、Safariで悪意あるページを開くだけで侵害が成立する可能性があるという。標的として挙げられたのはMetaMask、Trust Wallet、Phantom、Exodus、Coinbaseで、端末の別の場所に保存されたパスワードやリカバリフレーズも奪われうる。この警告の根拠は、Google脅威インテリジェンスグループが3月18日の報告書で詳述した攻略チェーンにある。iOS 18.4から18.7に影響する6つの脆弱性を連結して悪用する仕組みだ。Googleは侵入成功後に展開される3種のマルウェア、GHOSTBLADE、GHOSTKNIFE、GHOSTSABERを確認した。これらはウォレットデータ、端末のキーチェーン、メモのデータベース、閲覧履歴、個人メディアを回収できる。攻撃活動は少なくとも2025年11月にさかのぼり、サウジアラビア、トルコ、マレーシア、ウクライナの利用者が標的になっていた。AppleはiOS 26.3のリリースまでにこれらの脆弱性を修正済みで、修正の大部分はそれ以前の更新で提供されている。

@CertiKAlert · Xの投稿

X上の警告.

Xで見る

攻略キットは現在も進化を続けている。モバイルセキュリティ企業のiVerifyは10月8日の報告で、DarkSwordの変種P7を公開した。8月に顧客端末で発見された感染を調べた結果わかったものだ。このインプラントは既定で15秒ごとに命令サーバーへ通信し、送信前に端末内でキーチェーンデータを処理する。さらに、インストール済みのウォレットアプリを識別しimTokenのデータを抽出する専用命令も備えている。別の調査として、iVerifyとReport URIは10月21日に配布経路を追跡した。悪意ある広告が中心で、ワールドカップを題材にしたInstagram広告でフィードをスクロールしていた従業員が感染した事例もあった。DeadTagと呼ばれるキャンペーンでは、再登録された解析用ドメイン数百件が使われ、そのネットワークには月間約1億3,500万回のアクセスが集まっていた。偽のPolymarketページはDarkSwordの変種を2種配信し、脆弱な端末ではページ読み込みと同時に自動感染した。CertiKは、まとまった資産の保管にはハードウェアウォレットを、リスクの高い利用者にはロックダウンモードの活用を推奨している。

CZが更新を呼びかけ、被害は557万ドル規模に

Binance共同創業者のChangpeng Zhao氏も金曜日に公の場で呼びかけに加わった。自身のXアカウントで、iPhone利用者にOSを直ちに更新するよう求めた。古いビルドを使い続ける人への指摘は辛らつで、ウォレットアプリはその下にあるOSを修正できず、セルフカストディとは利用者が責任を負うことを意味する、としている。この投稿は、セキュリティ研究者Officer's Notesによる推計を受けたものだ。それによれば、すでに約557万ドル相当のデジタル資産がこの脆弱性経由で奪われ、悪意あるコードを置いた18以上のウェブサイトにまたがっている。同研究者は、キットがネット上で約3万ドルで販売されていることも報告しており、一部のビルドはimTokenウォレット専用の標的モジュールを同梱する。Appleはキットが連結する6つの脆弱性をすでに修正しており、Officer's NotesはDarkSwordが対応する最終バージョンをiOS 18.6.2としている。危険が集中するのは、数か月間更新を怠った端末だ。一方でキットのコードにはiOS 26と27への言及が含まれ、開発者が将来のシステムバージョン向け攻略を準備している可能性を示す。今回の件は孤立していない。9月にはAppleがCoreGraphicsの脆弱性を修正し、特定個人を狙った高度な攻撃で悪用された可能性を認めた。それ以前には、SlowMistとOKXがFomoPeekアプリ内の悪意あるコードがiOS上で通常の権限を超えて動作できることを突き止めている。研究者らの実用的な助言は短いリストに収束する。設定の一般、ソフトウェア・アップデートから最新のiOSを導入すること、リカバリフレーズをメモ、写真、スクリーンショットに残さないこと、Telegramグループやダイレクトメッセージで流れるリンクを疑ってかかることだ。すでに侵害された可能性のある端末では、更新済みの環境で新しいウォレットを生成し残高を移すのが唯一のクリーンな対処で、旧フレーズの再利用は決して許されない。手順は侵害されたウォレットの復旧ガイドが段階ごとに解説している。

@cz_binance · Xの投稿

自身のXアカウント.

Xで見る

本当の攻撃対象は更新を怠ったiPhone

この話題の核となる文書はCertiKの警告そのものだ。そこには、侵害にウォレット接続も署名も不要だと明記されており、セルフカストディの訓練が前提としてきた承認フローの常識が覆される。復旧の数字と併せて読めば、露出が集中するのは、AppleがiOS 26.3までに配布した修正より古いビルドを走らせる端末だ。指摘された5つのアプリの多くは、端末が読める形で鍵を保持するスマートフォン上のホットウォレットである。それだけに、あらゆる一般的な仮想通貨ウォレットの種類を通じて有効な対策は、アプリの選択よりもハードウェアによる分離、コールドストレージ、シードフレーズの衛生管理の方が強力だ。キット内のiOS 26と27への言及は、この攻略ファミリーが今後も進化を続ける意図を持つことを示唆している。