币圈界报道：

新版DarkSword漏洞链潜伏：无需点击即能入侵加密钱包

CertiK发布最新安全预警，指出攻击者已开始部署更新版DarkSword iOS漏洞组合，专门瞄准尚未完成系统补丁的iPhone设备上的数字资产存储应用。研究显示，用户只需在Safari中打开一个嵌入恶意代码的网页，便可能触发设备被远程控制。

漏洞链覆盖高危版本系统，攻击范围持续扩大

据Google Threat Intelligence Group披露，支撑此次攻击行为的底层漏洞共六项，主要影响iOS 18.4至18.7版本。其中，P7版本的DarkSword具备主动扫描设备、提取凭证及执行远程指令的能力，实现深度渗透。

当前攻击活动正通过Instagram信息流中的伪装广告进行扩散。为防范风险，CertiK强烈建议用户立即升级至最新iOS版本，并将资金转移至使用全新助记词创建的新钱包。

该公司在11月6日声明，本次攻击无需用户连接钱包或签署交易操作，直接绕过所有交互验证。受影响的应用包括MetaMask、Trust Wallet、Phantom、Exodus和Coinbase等主流钱包，同时手机内存储的密码与恢复短语亦面临泄露隐患。

“仅需在Safari打开恶意页面即可完成入侵：无需授权，也无需签名。”安全团队强调。

六重漏洞协同攻破设备，三类间谍软件协同运作

Google威胁情报小组于3月18日发布的研究报告详细解析了针对iOS 18.4至18.7版本的完整攻击路径。攻击者通过组合利用六个零日漏洞，成功获取设备控制权并植入恶意程序。

相关调查识别出三种核心恶意软件家族：GHOSTBLADE、GHOSTKNIFE与GHOSTSABER。它们分别承担数据采集、远程命令执行及隐蔽通信功能，部分组件可在非常驻状态下完成信息窃取。

GHOSTBLADE可提取加密钱包数据、钥匙串内容、消息记录、浏览器历史、备忘录数据库以及个人照片等敏感文件。谷歌观察到该活动最早始于2025年11月，目标涵盖沙特阿拉伯、土耳其、马来西亚与乌克兰地区的特定个体，疑似与商业监控机构或国家支持行为者有关。

相关漏洞已于同年年底提交苹果公司，并在iOS 26.3发布前全部修复，多数问题更早已被解决。

该研究聚焦于利用未修补系统漏洞的攻击模式，而非依赖用户主动授权。

P7变体强化隐蔽性，实现远程指令实时管控

移动安全机构iVerify于10月8日发布报告，披露了名为P7的新型暗剑变种，基于8月在客户设备上发现的感染事件展开分析。

研究人员回收并逆向该间谍软件，发现其经过优化以降低检测概率、增强运行稳定性，并支持与攻击者服务器建立双向通信通道。该版本移除了部分日志记录模块，减少进程注入行为，并改用浏览器本地存储机制防止漏洞重复利用。

其指令集包含识别已安装钱包应用的功能，以及从imToken中提取账户密钥的能力。其余命令则用于收集备忘录、图片、应用文件及设备元数据。

默认配置下，植入程序每15秒轮询一次远程服务器获取新指令，但攻击者可自定义频率。图表所反映的是指令请求频次，而非资金提取或数据窃取的固定周期。

iVerify指出，相比早期版本将钥匙串原始数据上传处理，P7已在本地完成初步清洗后再传输，提升隐蔽性。

恶意广告与废弃域名构成无点击传播网络

iVerify与Report URI联合调查显示，攻击者通过恶意广告投放及已废弃网站残留代码实现大规模传播。

一例案例中，一条世界杯主题的Instagram广告在员工浏览时悄然感染其设备，随后另一组攻击者利用携带不同变种DarkSword的链接再次攻击同一终端。

Report URI追踪到名为DeadTag的行动，其使用曾被分析与广告服务使用的过期域名。攻击者购得这些域名后，借助仍嵌入在数千个网站中的旧代码，将访问者定向至漏洞利用页面。

研究确认数百个重新注册的域名，广泛分布于数万站点之中。其关联网络每月产生约1.35亿次访问量，足以覆盖大量潜在目标设备。

调查还发现一个伪造的Polymarket页面，同时分发Coruna与P7两个版本的DarkSword。报告详述了当恶意内容加载至脆弱设备时自动触发感染的全过程。

安全机构呼吁更换暴露助记词，强化设备防护

CertiK提醒用户通过“设置”→“通用”→“软件更新”及时安装最新系统补丁，避免点击未知来源链接，并禁止将助记词保存于照片、备忘录或截图等易被读取的位置。

建议大额持有者采用硬件钱包，高风险用户启用“锁定模式”。若无法更新系统，亦应开启锁定模式作为替代防护。

对于怀疑设备已遭入侵的情况，必须立即将资产转入在清洁且更新后的设备上新建的钱包，并永久废弃原有种子短语。

此外，iVerify建议用户修改存储于受影响设备钥匙串中的各类密码。