BlockBeats, 19 жовтня: безпекова організація SlowMist (Slow Mist) опублікувала глибокий звіт з інтелектуальної інформації про бекенд-зловмисний програмний код DarkSword та атакувальну ланцюжок для iOS. У звіті прослідковано еволюцію інфраструктури атаки та розкрито її високу небезпеку для користувачів криптоактивів.
За аналізом SlowMist, після публікації експлойту в березні 2026 року, DarkSword-PROV2 з’явився на GitHub у липні, а його інфраструктура для атак була зафіксована в роботі в кінці вересня. Команда SlowMist не лише відстежувала його онлайн-інфраструктуру, але й зв’язала її з панеллю управління та відкритим репозиторієм на GitHub, розібравши експлойт, ланцюжок доставки та можливості після компрометації. У звіті зазначено кілька ключових виявлень цього атакувального фреймворку:
Високоступінчасто автоматизована повна атакувальна лінія, що інтегрує доставку вразливостей, збір пристроїв та даних, крадіжку даних та збір коштів з криптовалютних гаманців.
· Широкі та глибокі можливості викрадання даних: цей інструментарій не лише націлений на ключові зберігачі (Keychain), файли та інформацію, але й спеціально націлений на дані криптовалютних гаманців, маючи здатність розшифровувати дані гаманця та збирати кошти.
· Незважаючи на те, що інструментарій стверджує підтримку iOS 13 та вищих версій, аналіз коду підтверджує, що реальний вікно експлуатації зосереджено на двох діапазонах версій: iOS 18.6–18.7.2 та iOS 26.0–26.1.
Відкриті вразливі компоненти були збройовані та інтегровані в готові атакувальні фреймворки, що значно знизило бар’єри для проведення складних атак на iOS.
Щодо цієї загрози SlowMist надав чіткі рекомендації щодо безпеки. Користувачам слід підтримувати iOS у актуальному стані та уникати кліків за ненадійними посиланнями, оскільки лише відкриття зловмисної сторінки в браузері Safari може спровокувати вразливість. Якщо пристрій раніше відвідував підозрілі цільові сторінки, користувачі повинні вважати свої мнемонічні фрази та приватні ключі скомпрометованими і обов’язково створити новий гаманець на чистому пристрої, який ніколи не відвідував цю сторінку, щоб переказати активи. Крім того, користувачам слід повністю перевірити незвичайні транзакції та авторизації токенів на всіх ланцюгах та негайно скасувати непотрібні авторизації (Revoke).