币圈界报道：

新版DarkSword漏洞套件悄然渗透，无点击攻击成新威胁

CertiK发布最新预警，指出黑客已启用更新版DarkSword iOS漏洞组合，专门瞄准尚未完成系统升级的iPhone用户，其攻击路径仅需在Safari中访问一个恶意页面即可完成设备控制。

漏洞链覆盖范围与关键风险点

据Google Threat Intelligence Group披露，支撑此次攻击的底层漏洞共六项，集中影响iOS 18.4至18.7版本。其中P7变体具备自动扫描钱包应用、提取凭证及执行远程指令的能力。

攻击活动主要通过伪装成Instagram信息流中的广告进行传播。研究团队发现，用户在未主动交互的情况下，仅浏览内容即可能触发感染。CertiK建议立即升级系统，并将资金迁移至使用全新恢复短语创建的安全钱包。

11月6日的通告强调，本次攻击无需用户授权连接或签名操作。受影响的应用包括MetaMask、Trust Wallet、Phantom、Exodus及Coinbase等主流钱包，同时手机内存储的密码和助记词也存在被窃取风险。

“只需打开恶意网站：无需连接钱包，也无需确认交易。”安全机构明确指出其攻击机制。

六重漏洞协同构建深度渗透路径

Google威胁情报组于3月18日发布的技术报告揭示了针对iOS 18.4至18.7版本的一条完整攻击链。攻击者通过组合利用六个零日漏洞，实现对设备的完全控制并植入恶意程序。

相关研究识别出三类主要恶意软件家族：GHOSTBLADE、GHOSTKNIFE与GHOSTSABER。它们分别承担数据采集、远程命令执行与隐蔽通信任务，部分可在非持久运行状态下完成信息收集。

GHOSTBLADE可获取加密货币钱包数据、钥匙串信息、消息记录、浏览器历史、备忘录内容及个人媒体文件。监控显示，该攻击活动最早始于2025年11月，目标涵盖沙特阿拉伯、土耳其、马来西亚与乌克兰等地的特定群体，疑似涉及商业监控机构与国家支持行为者。

谷歌表示，已于当年年底向苹果提交全部漏洞细节，并在iOS 26.3正式发布前完成修复，多数漏洞此前已陆续修补。

P7变体实现更隐蔽的数据操控能力

移动安全公司iVerify在10月8日的报告中首次披露了P7版本的运作机制，该分析基于8月一次客户设备感染事件展开。

研究人员回收的间谍程序经过优化，降低了特征暴露风险，增强了稳定性，并实现了与攻击者服务器间的双向通信。为规避检测，该版本移除了部分日志记录功能，减少进程注入行为，并改用浏览器本地存储机制防止重复利用同一漏洞。

其指令集包含识别已安装钱包应用的功能，以及从imToken中提取账户数据的能力。其他命令则用于抓取备忘录、照片、应用文件与设备元信息。

默认配置下，植入程序每15秒轮询一次远程服务器以接收新指令，但攻击者可自定义检查频率。图表反映的是指令请求频次，而非资金提取或数据外传的固定周期。

iVerify指出，相较于早期版本直接上传钥匙串数据库的做法，P7会在本地完成数据处理后再传输，进一步提升隐蔽性。

恶意广告与废弃域名构成隐蔽传播网络

iVerify与Report URI联合调查发现，攻击者借助恶意广告与过期网站集成代码实施无点击传播。

在一则典型案例中，一条世界杯主题的Instagram广告在员工浏览时成功感染其设备，随后另一波攻击通过携带不同变体的链接再次发起打击。

Report URI追踪到名为DeadTag的活动，利用曾被分析与广告服务使用的废弃域名。攻击者购入这些已失效的域名，利用仍嵌入在网页中的旧代码将访问者重定向至漏洞利用页面。

调查确认数百个重新注册的域名嵌入数千个网站中，其关联网络每月承载约1.35亿次访问流量，足以覆盖满足条件的潜在受害者。

此外，一个伪造的Polymarket页面同时投递Coruna与P7版本的恶意载荷。报告详述了当恶意内容加载至脆弱设备后触发自动感染的过程。

紧急应对措施：更换助记词与强化设备防护

CertiK敦促所有iPhone用户通过“设置”→“通用”→“软件更新”及时安装补丁，避免点击来源不明链接，并严禁将助记词保存在照片、备忘录或截图中。

建议大额持有者采用硬件钱包，高危用户启用“锁定模式”（Lockdown Mode）。若无法更新系统，亦应开启锁定模式作为临时防护。

一旦怀疑设备已被入侵，必须立即将资产转移至由干净且已更新设备创建的新钱包，并永久放弃旧的种子短语。

iVerify补充建议：更改受感染设备钥匙串中所有存储的密码。