BlockBeats melaporkan, pada 19 Oktober, agensi keselamatan SlowMist menerbitkan laporan kecerdasan ancaman mendalam mengenai backend Trojan DarkSword dan rantai serangan iOS. Laporan tersebut melacak perkembangan infrastruktur serangan tersebut dan mengungkapkan keberbahayaannya yang tinggi terhadap pengguna aset kripto.
Menurut analisis SlowMist, selepas kod eksploitasi berkaitan diumumkan pada Mac 2026, DarkSword-PROV2 muncul di GitHub pada bulan Julai, dan infrastruktur serangannya diperhatikan telah aktif beroperasi pada akhir September. Pasukan SlowMist tidak hanya memantau infrastruktur dalam talinya, tetapi juga menghubungkan panel pengurusan dengan repositori GitHub yang diumumkan, serta menganalisis kod eksploitasi, rantai penghantaran, dan kemampuan pemanfaatan selepas kegagalan. Laporan tersebut menunjukkan beberapa penemuan utama kerangka serangan ini:
Salingan serangan penuh yang sangat automatik, yang mengintegrasikan penghantaran lubang keamanan, pengumpulan peranti dan data, pencurian data, serta pengumpulan dana dari dompet kripto.
Kemampuan pencurian data yang luas dan mendalam, toolkit ini tidak hanya menargetkan Keychain, fail, dan maklumat, tetapi juga secara khusus menargetkan data dompet kripto, dengan kemampuan untuk mendedahkan data dompet dan mengumpulkan dana.
· Walaupun toolkit ini mengklaim menyokong iOS 13 dan versi lebih tinggi, analisis kod mengesahkan bahawa jendela eksploitasi yang sebenarnya berkesan berfokus pada dua julat versi: iOS 18.6–18.7.2 dan iOS 26.0–26.1.
Komponen lubang keamanan awam telah diwujudkan dan diintegrasikan ke dalam kerangka serangan yang boleh dilaksanakan, yang secara besar-besaran mengurangkan rintangan untuk memulakan serangan iOS yang kompleks.
Menghadapi ancaman ini, SlowMist memberikan cadangan keselamatan yang jelas. Pengguna harus memastikan sistem iOS sentiasa dikemas kini dan mengelakkan mengklik pautan yang tidak boleh dipercayai, kerana hanya dengan membuka halaman jahat di peramban Safari sahaja sudah boleh memicu lubang kelemahan. Jika peranti pernah mengakses halaman pendaratan mencurigakan, pengguna harus menganggap kata sandi dan kunci peribadi telah bocor, dan mesti mencipta dompet baharu menggunakan peranti bersih yang tidak pernah mengakses halaman tersebut, serta memindahkan aset. Selain itu, pengguna juga perlu memeriksa secara menyeluruh transaksi dan kuasa token yang tidak biasa di setiap rantai, serta segera mencabut kuasa yang tidak diperlukan (Revoke).