11 kata sandi, 179 direktori perangkat, DarkSword hanya membutuhkan Anda membuka satu halaman web untuk mencuri koin Anda Perusahaan pemetaan aset jaringan Censys merilis laporan pada 7 Oktober, mengonfirmasi bahwa rangkaian eksploitasi iOS DarkSword masih menargetkan dompet kripto. Korban tidak perlu mengunduh apa pun—hanya perlu membuka halaman web yang telah dirancang khusus. Rantai serangan dimulai dengan eksekusi kode melalui WebKit dan JavaScriptCore, keluar dari sandbox browser, meningkatkan hak akses ke kernel, lalu menyuntikkan proses sistem SpringBoard yang mengelola peluncuran aplikasi dan layar utama. Setelah disuntikkan, 18 modul dompet bekerja—satu modul untuk setiap dompet—dan langsung menyuntikkan saat aplikasi target dimulai, menargetkan MetaMask, Phantom, Trust Wallet, imToken, dan lainnya. Alat ini dioperasikan seperti bisnis. Panel kontrol menyimpan daftar 75 akun, masing-masing dengan tingkat komisi dan kuota perangkat; agen masing-masing memiliki saluran distribusi sendiri, dengan lebih dari 60 perintah dalam daftar putih, dan setiap perintah memerlukan konfirmasi ganda.