⚡ Массовые кражи крипты с iPhone

Увидел историю Маши Дорвей, у которой украли крипту на $16,5k+, и изначально подумал, что там всё достаточно просто. Начал ковырять транзакции и расспрашивать Машу — оказалось, что нифига не просто.

Что мы имеем:

Три разных кошелька: Trust Wallet, Keeper и Tonkeeper. В двух из трёх кошельков сид-фразы никогда не экспортировались.

Никаких разрешений на списание средств не выдавалось. В один момент со всех трёх кошельков практически одновременно уходят все токены во всех сетях. Далее средства отправляются на адреса-сборщики, после чего проходят через цепочку транзакций и конвертируются в USDD (децентрализованный стейблкоин, не имеющий централизованного механизма заморозки, как у USDT).

Судя по таймингам, есть вероятность, что устройство Марии было скомпрометировано при посещении порносайтов и последующем принудительном редиректе.

У CPARIP вышло небольшое расследование о движении средств в сети TRON. Скрин оттуда.

Оказалось, что существуют DarkSword и Coruna (более ранний набор эксплойтов) — инструменты, использующие цепочки уязвимостей iOS для компрометации устройств и кражи данных, в том числе из криптокошельков.

DarkSword применялся против определённых версий iOS 18.4–18.7, а Coruna затрагивал более ранние версии системы. Причём среди целей Coruna были непосредственно Trust Wallet и Tonkeeper.

Несмотря на то что Apple выпустила исправления для известных уязвимостей, исследователи продолжают обнаруживать инфраструктуру, связанную с этими атаками. А в сети все больше сообщений о краже крипты.

Пока нельзя утверждать, что в случае Маши использовался именно DarkSword или Coruna, но сценарий компрометации самого iPhone выглядит похожим именно на них.

🔥Выводы из ситуации:

1. Крупные суммы крипты храните на аппаратных кошельках. Альтернатива — отдельное устройство, используемое исключительно для финансовых операций, хотя оно не обеспечивает такой же изоляции приватных ключей.
2. Регулярно обновляйте iOS и приложения криптокошельков. Не откладывайте установку обновлений безопасности.

@cpalike