11 palabras de recuperación, 179 directorios de dispositivos; DarkSword solo necesita que abras una página web para robar tus criptomonedas. La empresa de mapeo de activos en línea Censys publicó un informe el 7 de octubre, confirmando que el kit de explotación DarkSword para iOS sigue atacando billeteras criptográficas. Las víctimas no necesitan descargar nada; simplemente abrir una página web manipulada es suficiente. La cadena de ataque comienza obteniendo ejecución de código a través de WebKit y JavaScriptCore, escapa del sandbox del navegador, eleva privilegios hasta el kernel y finalmente inyecta SpringBoard, el proceso del sistema que gestiona el inicio de aplicaciones y la pantalla principal. Una vez inyectado, funcionan 18 módulos de billeteras, uno por cada billetera objetivo; las aplicaciones son inyectadas tan pronto como se inician, incluyendo MetaMask, Phantom, Trust Wallet, imToken, entre otras. Esta herramienta opera como un negocio. En el panel de control se almacena una lista de 75 cuentas, cada una con una tasa de comisión y un límite de dispositivos; los agentes tienen sus propios canales de distribución, y la lista blanca de comandos supera las 60 entradas, cada una requiriendo confirmación secundaria antes de ejecutarse.