BlockBeats na mensahe, Oktubre 19, ang seguridad na ahensya na SlowMist ay naglabas ng isang malalim na ulat tungkol sa threat intelligence sa back-end ng Trojan na DarkSword at sa iOS attack chain. Sinunod ng ulat ang pag-unlad ng infrastrakturang ito sa pag-atake at ipinakita ang mataas na panganib nito sa mga gumagamit ng cryptocurrency.
Ayon sa analisis ng SlowMist, mula noong ipinahayag ang exploit code noong Marso 2026, ang DarkSword-PROV2 ay lumabas sa GitHub noong Hulyo, at ang kanilang attack infrastructure ay nakita na nagsisimula sa huling bahagi ng Setyembre. Ang team ng SlowMist ay hindi lamang tinatayuan ang kanilang online infrastructure kundi nag-ugnay din ang kanilang management dashboard sa publikong GitHub repository, at pinasira ang exploit code, delivery chain, at post-compromise capabilities. Ang ulat ay nagtala ng ilang mahahalagang natuklasan sa attack framework na ito:
mataas na awtomatizado na buong attack pipeline na may integrasyon ng vulnerability delivery, device at data collection, data theft, at pagkolekta ng pondo mula sa encrypted wallets.
· Malawak at malalim na kakayahan sa pagkukunan ng datos, hindi lamang tinutukoy ng toolkit ang Keychain, mga file, at impormasyon, kundi espesyal na nakatuon sa mga datos ng encrypted wallet, may kakayahang i-decrypt ang mga datos ng wallet at i-collect ang mga pondo.
· Kahit na ipinahayag ng toolkit na suportado ang iOS 13 at mas mataas, ang pagsusuri ng code ay nagpatotoo na ang aktibong ventana ng pagsasamantala ay nakatuon sa dalawang saklaw: iOS 18.6–18.7.2 at iOS 26.0–26.1.
Ang mga komponenteng may pampublikong vulnerabilities ay naging weaponized at na-integrate sa mga deployable attack framework, na lubos na nababawasan ang hadlang para sa pagpapalabas ng kumplikadong iOS attack.
Para sa banta na ito, ang SlowMist ay nagbigay ng malinaw na mga payo sa kaligtasan. Dapat manatiling updated ang iOS system ng mga user at iwasan ang pag-click sa mga hindi kapani-paniwala na link, dahil ang pagbukas lamang ng masasamang pahina sa Safari browser ay maaaring mag-trigger sa vulnerability. Kung dating naka-access ang device sa mga sospeksong landing page, dapat ituring na na-leak ang mnemonic phrase at private key, at kailangang gumawa ng bagong wallet gamit ang malinis na device na hindi nag-access sa pahinang iyon at ilipat ang mga asset. Bukod dito, kailangan ng mga user na buong pagsusuri sa lahat ng mga hindi karaniwang transaksyon at token authorization sa bawat chain, at agad na i-revoke ang mga hindi kinakailangang authorization.