Цена одного клика: как вирус DarkSword опустошает криптокошельки владельцев iPhone через безопасные сайты

Представьте, что вы зашли на привычный новостной портал, крупный интернет-магазин или онлайн-кинотеатр, а спустя несколько минут ваш криптовалютный кошелек полностью обнулился. Такова реальность новой глобальной кибератаки. Хакеры научились незаметно заражать легальные платформы, используя вредоносное ПО DarkSword и критические уязвимости в iOS 18. Пострадавшие по всему миру уже потеряли миллионы долларов, даже не подозревая, где именно совершили ошибку.

Раньше для кражи криптовалюты мошенникам требовалось завлечь пользователя на фишинговый сайт или заставить его вручную ввести сид-фразу. Теперь правила игры изменились. Вектором атаки стали не только сомнительные ресурсы «для взрослых», но и абсолютно легальные платформы с высокой репутацией.

В ходе масштабной кампании, получившей кодовое название DeadTag, киберпреступники начали массово выкупать заброшенные домены старых систем веб-аналитики и рекламных трекеров (например, ecomtrack.io). Коды этих счетчиков до сих пор остаются встроенными в архитектуру тысяч популярных сайтов по всему миру. Перехватив контроль над этими элементами, хакеры получили доступ к гигантскому потоку аудитории — исследователи оценивают его в 135 миллионов визитов в месяц.

Как только владелец iPhone заходит на такой, казалось бы, безопасный сайт через браузер Safari, скрытый скрипт мгновенно проверяет версию операционной системы и активирует цепочку заражения.

Атака уникальна тем, что относится к классу Zero-Click и является полностью бесфайловой. Пользователю не нужно ничего скачивать, подтверждать или запускать — заражение происходит в фоновом режиме в момент открытия веб-страницы.

Эксплойт DarkSword (и его улучшенная модификация P7 DarkSword) связывает воедино шесть уязвимостей в системе iOS 18 (преимущественно версий от 18.4 до 18.6). Он мгновенно обходит защитную «песочницу» браузера, получает максимальные права в системе и внедряется в оперативную память устройства.

Оказавшись внутри смартфона, вирус действует молниеносно:

• Сканирует файлы устройства, галерею и приложение «Заметки» в поисках BIP39 сид-фраз (фрагментов восстановления из 12 или 24 शब्दों).

• Выгружает базу паролей из встроенного хранилища iCloud Keychain.

• Формирует зашифрованный JSON-файл с готовыми ключами и отправляет его на командный сервер хакеров.

Целью вируса становятся все популярные Web3-приложения: Trust Wallet, MetaMask, Coinbase Wallet, Phantom, Exodus и Binance Wallet. Опустошив кошельки, программа подчищает системные логи и самоуничтожается, не оставляя следов. География пострадавших уже охватила весь мир — от стран СНГ до Европы, Малайзии и Саудовской Аравии.

Как защитить свои сбережения?

Изначально DarkSword создавался как коммерческий шпионский софт государственного уровня, но после утечки его исходного кода в открытый доступ инструмент стал доступен обычным финансовым хакерам. По оценкам экспертов по кибербезопасности из iVerify, под угрозой до сих пор находятся от 220 до 270 миллионов iPhone по всему миру.

Чтобы не стать жертвой невидимой кражи, специалисты рекомендуют принять срочные меры:

1. Немедленно обновите iOS: Apple уже закрыла эти шесть уязвимостей. Убедитесь, что на вашем устройстве установлена последняя версия ОС (iOS 26.3 / iOS 18.7.7 или новее).

2. Очистите телефон от ключей: Категорически запрещено хранить пароли, приватные ключи и секретные фразы в цифровом виде на смартфоне (в заметках, скриншотах или мессенджерах). Перенесите их на физический бумажный или металлический носитель.

3. Включите Lockdown Mode: Если вы управляете крупными криптоактивами со смартфона, активируйте «Режим блокировки» в настройках конфиденциальности iPhone. Он полностью блокирует сложные веб-технологии (JIT-компиляцию JavaScript), через которые работает данный эксплойт.