Kit de ataque para iPhone "DarkSword" podría ser utilizado para robar criptomonedas; Bitquery identifica aproximadamente 4.06 millones de dólares en la red de robo, la conexión no está confirmada

Puntos clave de este artículo

• Exploración de semillas a partir de fotos y notas, robo de claves privadas sin necesidad de aprobación
• Aproximadamente 4.06 millones de dólares fueron movidos desde la billetera 365 de Tron, la conexión no está confirmada

Kit de ataque que roba semillas sin aprobación

Se sospecha que el kit de ataque "DarkSword", que explota vulnerabilidades en iPhones, está siendo utilizado para robar de billeteras de criptomonedas. La empresa de análisis de blockchain Bitquery publicó el 5 de noviembre un análisis que indica que al menos 4.06 millones de dólares (aproximadamente 640 millones de yenes) en USDT fueron movidos desde la billetera 365 en Tron (TRON) a través de una red de robo sospechosa.

DarkSword tiene como principales objetivos los iPhones que ejecutan iOS 18.4 a 18.7. El ataque puede llevarse a cabo simplemente abriendo un sitio web manipulado en Safari, por lo que los investigadores están instando a los usuarios a actualizar su iOS a la última versión.

El grupo de inteligencia de amenazas de Google (GTIG) y las empresas de seguridad Lookout e iVerify publicaron simultáneamente un análisis sobre DarkSword el 18 de marzo. Este kit combina seis vulnerabilidades para tomar control del dispositivo y extraer contraseñas, mensajes y datos de aplicaciones de billeteras de criptomonedas almacenados en el llavero, sin necesidad de aprobación para descargar o operar.

Según un informe publicado por la empresa de seguridad Censys en octubre, el kit incluye módulos que apuntan a 18 aplicaciones de billetera de forma individual y tiene la capacidad de buscar semillas (frases de recuperación) a partir de fotos y notas. Las aplicaciones objetivo incluyen MetaMask, Phantom, Trust Wallet y Coinbase.

No se trata de fallos en las aplicaciones en sí, sino de la explotación de vulnerabilidades en el dispositivo, y Censys analiza que el principal objetivo es el robo de billeteras.

Los atacantes utilizan las claves privadas y semillas robadas para firmar y enviar fondos desde su propio dispositivo. A diferencia del phishing tradicional que requiere aprobación para la conexión de la billetera o la transacción, en este caso no ocurre ninguna aprobación del lado de la víctima.

La revocación de la aprobación o la reinstalación de la aplicación no previene el ataque, y si se roba la semilla, la única forma de proteger los fondos es trasladar los activos a una billetera creada con una nueva semilla.

Aproximadamente 4.06 millones de dólares fueron movidos en Tron

Bitquery rastreó el flujo de fondos comenzando desde una transacción que coincidía en monto y tiempo con un usuario de iPhone que reportó pérdidas.

Entre el 5 de octubre y el 4 de noviembre (UTC), 43 direcciones de recolección que estaban conectadas a la misma billetera de tarifas movieron fondos desde la billetera 365 (de las cuales 89 fueron solo pérdidas de TRX). La mediana de la cantidad perdida por las 276 direcciones que perdieron USDT fue de 1,029 dólares, y 8 direcciones que perdieron más de 100,000 dólares representaron el 63% del total de pérdidas en USDT.

Sin embargo, Bitquery señala que no puede determinar a partir de los registros en cadena qué dispositivos o aplicaciones de billetera estaban utilizando los afectados, por lo que no se puede confirmar que todas las pérdidas sean atribuibles a la vulnerabilidad del iPhone o a DarkSword. Hasta el momento, no se ha confirmado si los usuarios en Japón han sufrido pérdidas.

Para enviar USDT en Tron, se requiere TRX como tarifa. Según Bitquery, primero se envía una pequeña cantidad de TRX a la dirección del afectado, y segundos después se transfiere el saldo total. La llegada de una pequeña cantidad de TRX desde una dirección desconocida puede ser una señal de alerta.

Las pequeñas llegadas pueden ser parte de otra técnica llamada "envenenamiento de direcciones", que intenta inducir transferencias erróneas al mezclar direcciones similares en el historial, por lo que en ambos casos es fundamental no copiar la dirección de destino desde el historial de transacciones.

iOS corregido y medidas para usuarios

Las seis vulnerabilidades utilizadas por DarkSword han sido corregidas en iOS 26.3 y abordadas en la versión 18.7.7 de iOS 18. Apple lanzó iOS 27.2 el 26 de octubre, corrigiendo más de 160 vulnerabilidades.

Ese mismo día, también se proporcionaron iOS 26.7.2 para dispositivos que no han migrado a iOS 27 y iOS 18.7.11 para dispositivos más antiguos como el iPhone XS y XR. Las actualizaciones se pueden realizar desde "Ajustes" en la aplicación "General" en "Actualización de software". Las notificaciones de actualización que aparecen en el navegador pueden ser fraudulentas.

Para los usuarios de billeteras de custodia propia, la forma en que se almacena la semilla puede influir en las pérdidas. Se recomienda no guardar semillas en fotos, capturas de pantalla, aplicaciones de notas o en la nube, sino almacenarlas de forma offline en papel o en placas de metal.

Las semillas que se han fotografiado en el pasado pueden quedar en las fotos de iCloud, en "Elementos eliminados recientemente" o en copias de seguridad de iCloud. También es posible gestionar grandes activos en una billetera de hardware y mantener solo la cantidad que se usa regularmente en el teléfono inteligente.

Si la semilla se ha guardado en el dispositivo o si se ha abierto un sitio sospechoso en una versión vulnerable de iOS, se recomienda crear una nueva billetera con una nueva semilla en un dispositivo confiable y actualizado, y trasladar los activos. Bitquery también insta a mover los activos inmediatamente si se recibe una pequeña cantidad de TRX desde una dirección desconocida.

Los usuarios de aplicaciones de intercambio tampoco están exentos. Dado que las contraseñas del llavero pueden ser robadas, si han estado usando un iOS vulnerable, cambiar la contraseña del intercambio es una opción.

La autenticación de dos factores es preferible a través de aplicaciones de autenticación o claves de acceso en lugar de SMS, y algunos intercambios permiten establecer restricciones en el registro de direcciones de retiro. Las personas con grandes cantidades de criptomonedas o aquellos en la industria también deben considerar habilitar el modo de bloqueo. GTIG recomienda habilitar el modo de bloqueo como una medida para dispositivos que no pueden actualizarse.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.