币圈界报道：

新版DarkSword漏洞链悄然渗透，用户无需交互即遭入侵

CertiK发布最新安全警报，揭示攻击者已部署更新版DarkSword iOS漏洞组合，专门瞄准尚未完成系统补丁的iPhone设备。研究发现，用户仅需在Safari中打开一个伪装成正常网页的恶意链接，即可触发设备沦陷，整个过程无需任何授权或签名操作。

六项核心漏洞构成攻击链条，影响范围覆盖多个系统版本

Google Threat Intelligence Group披露，支撑此次攻击的底层漏洞共包含六个关键缺陷，主要影响iOS 18.4至18.7版本。其中，名为P7的变体具备主动扫描设备、提取凭证并执行远程指令的能力，构成严重威胁。

攻击活动通过社交媒体平台如Instagram的信息流传播恶意广告。安全机构建议用户立即升级至最新iOS版本，并将资金转移至使用全新助记词生成的新钱包中，以规避潜在风险。

根据11月6日发布的通告，此次攻击不依赖于用户主动连接钱包或确认交易行为。包括MetaMask、Trust Wallet、Phantom、Exodus和Coinbase在内的多款主流钱包应用均被列入目标名单，同时手机内存储的密码与恢复短语亦面临泄露可能。

“只需在Safari中打开一个恶意页面：无需连接钱包，也无需签名。”CertiK强调，该攻击模式极具隐蔽性与传播力。

六漏洞协同攻击：从浏览器入口实现设备全面接管

Google威胁情报团队于3月18日发布的技术报告详细解析了针对iOS 18.4至18.7版本的攻击路径。攻击者通过串联利用六个漏洞，成功获取设备控制权，并植入用于窃取敏感信息的恶意程序。

相关研究识别出三类主要恶意软件家族：GHOSTBLADE、GHOSTKNIFE与GHOSTSABER。它们分别承担远程命令执行、静默数据采集以及低活跃度信息收集任务，部分组件可在不常驻运行的情况下完成数据提取。

GHOSTBLADE可抓取加密货币钱包信息、设备钥匙串内容、短信记录、浏览器历史、备忘录数据库及个人照片等敏感资料。观察到的攻击活动集中于沙特阿拉伯、土耳其、马来西亚和乌克兰地区，疑似与商业监控机构或国家支持行为者有关。

该系列攻击最早可追溯至2025年11月。谷歌已于同年年底向苹果提交全部漏洞细节，并在iOS 26.3正式发布前完成修复，多数漏洞此前已提前修补。

研究指出，此攻击模型基于系统漏洞本身，而非依赖用户对加密应用的授权行为。

P7变体强化隐蔽性，实现端侧数据处理与双向通信

iVerify在10月8日发布的报告中披露了P7版本的详细特征，其分析源于一次客户设备感染事件的逆向调查。

研究人员回收的间谍软件经过深度重构，降低了检测概率，增强了稳定性，并支持与攻击者服务器之间的双向通信。P7移除了部分日志记录功能，减少了进程注入行为，并改用浏览器本地存储机制，避免重复利用同一漏洞。

其指令集涵盖识别已安装的钱包应用、提取imToken数据、读取备忘录、照片、应用文件及设备配置信息等功能。默认情况下，植入程序每15秒向服务器请求新指令，但攻击者可自定义检查频率。

图表显示的是指令轮询频率，而非资金盗取或数据提取的时间点。

iVerify指出，相比早期版本将钥匙串数据直接上传，P7在本地完成初步处理后再传输，进一步提升隐蔽性与效率。

恶意广告借道社交平台，实现零点击传播

iVerify与Report URI联合调查发现，攻击者正通过被滥用的广告网络与废弃网站代码进行无感传播。

一例典型案例显示，一条世界杯主题的Instagram广告在员工浏览时即完成设备感染。随后，另一组攻击者通过携带不同变体的恶意链接再次攻击同一目标。

Report URI追踪到名为DeadTag的活动，利用曾服务于分析与广告服务的过期域名。攻击者购入这些域名后，利用仍嵌入在数千个网站中的旧代码将访问者重定向至漏洞利用页面。

研究人员确认数百个重新注册的域名，其关联网站每月累计流量高达1.35亿次。这些站点在满足特定条件时会自动注入恶意脚本，成为漏洞攻击的理想入口。

调查还发现一个伪造的Polymarket登录页，同时投递Coruna与P7两个版本的DarkSword。报告完整还原了恶意内容加载至易受攻击设备后的自动感染流程。

应对建议：更换助记词并启用强防护模式

CertiK呼吁iPhone用户通过“设置”→“通用”→“软件更新”及时安装系统补丁，避免点击未知来源链接，并严禁将助记词保存在照片、备忘录或截图中。

建议大额持有者采用硬件钱包隔离资产；高风险用户应开启“锁定模式”（Lockdown Mode）以增强防御。若无法更新系统，谷歌同样推荐启用该模式作为替代方案。

对于疑似被入侵的设备，必须将资金转移至在干净且已更新的设备上创建的新钱包中，并永久废弃旧的种子短语。

此外，iVerify建议用户尽快更改存储于受影响设备钥匙串中的所有密码。