币圈界报道：

新版DarkSword漏洞链暴露：无需交互即可攻破加密钱包

CertiK发布最新预警，指出攻击者已部署升级版DarkSword iOS漏洞工具包，专门瞄准尚未安装补丁的iPhone设备中的数字资产存储应用。研究显示，用户仅需在Safari中访问一个恶意页面，即可触发完整入侵流程，无需授权或连接钱包。

漏洞链覆盖范围与关键影响节点

据Google Threat Intelligence Group披露，支撑此次攻击的底层漏洞共涉及六个独立缺陷，主要影响iOS 18.4至18.7版本。其中P7变体具备远程扫描钱包应用、提取凭证以及执行指令的能力，构成严重安全隐患。

攻击传播路径已确认为通过Instagram信息流投放恶意广告。CertiK强烈建议用户尽快完成系统升级，并将资金转移至采用全新恢复短语创建的新钱包中以规避风险。

该机构于11月6日强调，本次攻击不依赖用户主动操作，包括连接钱包或签署交易。受影响的应用涵盖MetaMask、Trust Wallet、Phantom、Exodus及Coinbase等主流钱包，同时手机内保存的密码和助记词亦面临被窃取可能。

“只需打开恶意链接：无需连接，也无需签名。”安全团队明确指出其攻击机制的隐蔽性与高危性。

六漏洞协同构建完整攻击路径

Google威胁情报小组在3月18日发布的报告中详细解析了针对iOS 18.4至18.7版本的攻击链。攻击者通过组合利用六个漏洞，成功获取设备控制权并部署恶意软件。

检测到的三类恶意程序家族分别为GHOSTBLADE、GHOSTKNIFE与GHOSTSABER，各具不同功能：部分支持远程命令执行，另一些则在非持续运行状态下完成数据采集。

GHOSTBLADE可收集加密钱包数据、钥匙串内容、聊天记录、浏览器历史、备忘录及个人媒体文件。相关活动最早追溯至2025年11月，目标人群涉及沙特阿拉伯、土耳其、马来西亚与乌克兰地区，疑似关联商业监控机构或国家支持行为者。

Google表示，所有漏洞已于同年年底提交苹果公司，并在iOS 26.3发布前全部修复，多数问题更早已被处理。

研究聚焦于对未打补丁系统的攻击，而非依赖用户授权的行为。

P7变体实现远程数据操控能力

iVerify于10月8日发布报告，基于一次客户设备感染事件调查揭示P7版本的存在。该变体经过优化，降低特征值、增强稳定性，并建立与攻击者服务器间的双向通信通道。

其设计移除了部分日志记录模块，减少进程注入行为，并利用浏览器本地存储机制防止漏洞重复利用。

命令集包含识别已安装钱包应用的功能，以及从imToken中提取账户数据的能力；其他指令则用于抓取备忘录、照片、应用文件与设备元信息。

默认配置下，植入程序每15秒向服务器请求新指令，但该频率可由攻击方自定义调整。图表反映的是指令轮询频率，而非资金提取或数据窃取的固定周期。

iVerify指出，相较早期版本直接外传钥匙串数据库的做法，P7会在本地先完成数据处理后再传输，提升隐蔽性。

恶意广告实现零点击渗透

iVerify与Report URI联合调查发现，攻击者通过恶意广告及废弃网站代码集成实施传播。一例案例显示，一条世界杯主题的Instagram广告在员工浏览时感染其设备，随后另一组攻击者通过携带不同变体的链接再次发起攻击。

Report URI追踪到名为DeadTag的活动，利用曾被分析与广告服务使用的过期域名。攻击者购入这些域名后，借助仍嵌于网站中的旧有脚本实现访问者重定向。

研究人员识别出数百个重新注册的域名，广泛分布于数千个网站中。该网络每月接收约1.35亿次访问，意味着大量潜在受害者可能暴露于漏洞利用环境中。

调查还发现一个伪造的Polymarket页面，同时投递Coruna与P7版本的恶意载荷。报告详述了当恶意内容加载至脆弱设备时自动触发感染的过程。

紧急应对建议：更换种子短语与强化防护

CertiK呼吁用户通过“设置”→“通用”→“软件更新”及时安装最新补丁，避免点击来源不明链接，并严禁将助记词存放在照片、备忘录或截图中。

对于大额持有者，推荐使用硬件钱包；高风险用户应启用“锁定模式”（Lockdown Mode）。若无法更新系统，谷歌亦建议开启此模式以增强防御。

一旦怀疑设备已被感染，应立即将资产转移至在干净且已更新的设备上新建的钱包，并永久放弃旧的种子短语。

iVerify额外建议：更改所有存储于受影响设备钥匙串中的密码。