Pelkkä verkkosivun avaaminen Safarissa voi riittää: CertiK varoittaa päivittämättömien iPhonejen kryptolompakoihin kohdistuvasta hyökkäyksestä
- CertiK varoittaa, että DarkSword-työkalupaketin uusi versio pääsee päivittämättömillä iPhoneilla käsiksi lompakkotietoihin, vaikka käyttäjä ei allekirjoita mitään.
- iVerifyn elokuussa löytämä P7-muunnelma tunnistaa asennetut lompakkosovellukset ja poimii imToken-lompakon tietoja.
- Googlen mukaan alkuperäisen hyökkäysketjun kampanjat kohdistuivat ihmisiin Saudi-Arabiassa, Turkissa, Malesiassa ja Ukrainassa.
Hyökkäys hyödyntää päivittämättömän iOS:n aukkoja, ja CertiKin mukaan kohteina ovat olleet esimerkiksi MetaMask-, Phantom- ja Coinbase-sovellukset.
Kun päivittämättömän iPhonen käyttäjä avaa Safarissa haitallisen verkkosivun, hyökkääjä voi päästä käsiksi puhelimen kryptolompakoihin ilman että lompakkoa tarvitsee yhdistää mihinkään tai hyväksyä yhtään transaktiota.
Lohkoketjujen tietoturvaan erikoistunut CertiK varoitti perjantaina, että hyökkääjät käyttävät DarkSword-nimisen hyökkäystyökalupaketin uudempaa versiota päivittämättömiä iPhoneja vastaan.
– Pelkkä haitallisen sivun avaaminen Safarissa voi riittää. Lompakkoa ei tarvitse yhdistää eikä mitään tarvitse allekirjoittaa, CertiK kirjoitti X-viestiketjussaan.
Viestiketjussa kohteiksi mainitaan MetaMask-, Phantom-, Exodus- ja Coinbase-sovelluksia sekä Trust Walletia. CertiKin mukaan haittaohjelma etsii myös muualle puhelimeen tallennettuja salasanoja ja palautuslauseita, joiden avulla lompakon saa palautettua toiselle laitteelle.
Heikkous ei ole lompakkosovelluksissa vaan iOS-käyttöjärjestelmän haavoittuvuuksissa, jotka jäävät auki laitteissa, joihin päivityksiä ei ole asennettu.
Hyökkäysketju (exploit chain)
Hyökkäysketjussa useita erillisiä ohjelmistoaukkoja käytetään peräkkäin. Yksi aukko avaa pääsyn selaimeen, seuraava murtaa sen eristyksen ja viimeinen antaa laajemmat oikeudet laitteeseen. Kun yksikin lenkki korjataan päivityksellä, ketju katkeaa.
Kuusi aukkoa ja kolme haittaohjelmaa
Google Threat Intelligence Group eli Googlen uhkatiedusteluryhmä kuvasi DarkSwordin alkuperäisen hyökkäysketjun 18. maaliskuuta 2026 julkaistussa tutkimuksessaan. Hyökkäysketju toimi iOS-versioissa 18.4–18.7 ja yhdisti kuusi haavoittuvuutta.
Onnistuneen murron jälkeen laitteeseen asennettiin jokin kolmesta haittaohjelmaperheestä, jotka Google nimesi GHOSTBLADEksi, GHOSTKNIFEksi ja GHOSTSABERiksi.
GHOSTBLADE keräsi kryptolompakoiden tietoja, iOS:n avainnipun, viestejä, selaintietoja, Muistiinpanot-sovelluksen tietokantoja ja kuvia.
Google havaitsi kampanjoita, jotka kohdistuivat ihmisiin Saudi-Arabiassa, Turkissa, Malesiassa ja Ukrainassa ja joiden takana oli kaupallisten valvontaohjelmien myyjiä sekä oletettavasti valtiollisia toimijoita. Googlen mukaan kampanjoita oli ollut ainakin marraskuusta 2025 lähtien.
Uusi versio etsii lompakot
Mobiilitietoturvayhtiö iVerify kertoi P7-nimisestä muunnelmasta 8. lokakuuta. Yhtiö oli löytänyt tartunnan asiakkaansa puhelimesta elokuussa.
P7:n komentoihin kuuluu toiminto, joka tunnistaa laitteeseen asennetut lompakkosovellukset, ja toinen, joka poimii imToken-lompakon tietoja. iVerify sanoo, että uusi versio käsittelee avainnipun tiedot jo puhelimessa ennen kuin ne lähetetään hyökkääjälle.
CertiK neuvoo asentamaan saatavilla olevat iOS-päivitykset ja siirtämään varat uuteen lompakkoon, jos laite on voinut saada tartunnan. Vanhaa palautuslausetta ei yhtiön mukaan pidä käyttää uudelleen.
Google kertoo ilmoittaneensa haavoittuvuuksista Applelle loppuvuodesta 2025. Kaikki kuusi oli korjattu iOS 26.3 -versioon mennessä, useimmat jo aiemmin.
