iPhone-Nutzer mit veralteten iOS-Versionen könnten Sicherheitsrisiken ausgesetzt sein, nachdem Forscher vergiftete Website-Pakete mit einer iOS-Exploit-Kette in Verbindung gebracht haben, die auf geschützte Telefondaten und Wallet-Geheimnisse zugreifen kann.
Socket, eine Cybersicherheitsplattform, veröffentlichte die Kampagne, nachdem sie 13 bösartige Themen auf Packagist gefunden hatte. Die Pakete infizierten Websites statt Telefone. Daher reichte das Vermeiden von gefälschten Wallet-Apps nicht aus, um ein verwundbares iPhone vor einer betroffenen Safari-Seite zu schützen.
Wofür sollen die bösartigen Packagist-Pakete funktionieren?
Die Pakete dienten als Themen für OphimCMS und KKPhim, die vietnamesische Streaming-Seiten unterstützen. Sie erschienen unter fünf Verlagen: vsmov, vsphim, haiau009, chilltvcms und ophimcms.
Nachdem ein Seitenbetreiber ein vergiftetes Theme installiert hatte, erschien feindliches JavaScript auf seinen Seiten. Mobilmobile Besucher konnten Glücksspiel-Weiterleitungen oder eingeschleuste Werbung erhalten. Der iPhone-Zweig überprüfte ebenfalls die iOS-Version und lud einen passenden Exploit.
Die Untersuchung von Socket ergab zwei WebKit-Einstiegspunkte. CVE-2025-31277 richtete sich auf iOS 18.4 und 18.5. CVE-2025-43529 behandelte iOS 18.6.
Spätere Phasen entkamen dem geschützten Prozess von WebKit und erreichten den iOS-Kernel. Dieser Zugriff ermöglichte es der Nutzlast, Daten zu lesen, die normalerweise von einer Website blockiert werden.
Forscher fanden Code für iPhone XS bis iPhone 16 Modelle mit iOS 18.4 bis 18.6.x. Die analysierte Version unterstützte weder iOS 18.7 noch iOS 26.
Die Spyware konnte Schlüsselbunddaten, Nachrichten, Kontakte, Fotos, Browser-Cookies, WLAN-Passwörter, Standortverlauf und Kontodatenbanken sammeln. Ein Update im August suchte außerdem nach Wallet-Material, das mit Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet und OKX verknüpft ist.
Warum nennen neuere Berichte verschiedene Krypto-Wallets?
Ein neuerer SlowMist-Bericht untersuchte eine separate WYANCC-Infrastruktur. Die Stichprobe richtete sich auf Safari unter iOS 18.4 bis 18.6.2. Der Code konzentrierte sich auf imToken, TokenPocket und TronLink.
Diese Nutzlast konnte App-Dateien durchsuchen, entschlüsselte Keychain-Einträge lesen und die Tastatureingabe überwachen, während eine gezielte Wallet geöffnet war. SlowMist stellte die Funktionen wieder, führte sie aber nicht auf dem Handy eines Opfers aus.
Daher sollten die beiden Wallet-Listen getrennt bleiben. Socket untersuchte bösartige Packagist-Themen, während SlowMist ein weiteres Auslieferungssystem analysierte. Beide zeigten Verbindungen zur DarkSword-Exploit-Familie.
Googles Threat Intelligence Group verfolgte DarkSword seit November 2025. Google fand mehrere Varianten, die iOS 18.4 bis 18.7 unterstützen. Apple hat in späteren iOS-Versionen Patches veröffentlicht, die die Exploit-Kette adressieren.
Wie können Nutzer Wallet-Diebstahl-Malware stoppen?
Die Installation des neuesten iOS-Updates schließt den bekannten Weg. Stand 4. September 2026 listet Apple iOS 26.6.1 als aktuelle Version an. Es bietet außerdem iOS 18.7.10 für das iPhone XS, XS Max und XR an.
Nutzer können Einstellungen öffnen, Allgemein auswählen und auf Software-Update klicken. Sie sollten die neueste Version installieren, die für ihr Gerät angeboten wird. Automatische Downloads und Installationen sollten ebenfalls aktiviert sein.
Personen mit iOS 26.1 oder neuer können Hintergrundsicherheitsverbesserungen unter Einstellungen und Datenschutz & Sicherheit aktivieren. Diese Option bietet einige WebKit- und Systemschutzmaßnahmen zwischen vollständigen Updates.
Patches bieten die Hauptabwehr, während sorgfältiges Surfen das Risiko weiter senkt. Nutzer sollten Seiten verlassen, die Glücksspielseiten oder wiederholte Weiterleitungen auslösen. Google hat bekannte DarkSword-Domains zu Safe Browsing hinzugefügt, aber Angreifer können die Infrastruktur rotieren.
Wiederherstellungsphrasen benötigen separaten Schutz. Sie sollten nicht in Fotos, Notizen, E-Mails, Chats oder ungeschützten Cloud-Dateien gespeichert werden. Forscher fanden heraus, dass die Malware mehrere dieser Datenquellen sammeln kann.
Ein Offline-Backup begrenzt diese Exposition. Große Inhaber können auch eine Hardware-Wallet verwenden, ohne deren Seed-Phrase ins iPhone zu importieren. Jede Adresse und Transaktion sollte weiterhin auf dem Hardwaregerät überprüft werden.
(adsbygoogle = window.adsbygoogle || []).push({});Was sollten Nutzer nach möglicher Exposition tun?
Nutzer sollten zunächst prüfen, welche iOS-Version zum Zeitpunkt des Öffnens der Seite aktiv war. Eine verdächtige Weiterleitung allein bestätigt keine Infektion. SlowMist warnte außerdem davor, eine Seed-Phrase allein aus Zugriffsdaten als gestohlen zu deklarieren.
Das iPhone sollte weiterhin sofort aktualisiert werden. Wenn unautorisierte Übertragungen auftreten oder eine Sicherheitsüberprüfung die Exposition bestätigt, sollte der Besitzer eine neue Krypto-Wallet auf einem sauberen Gerät erstellen. Die Wiederherstellungsphrase muss neu sein.
Der Eigentümer kann dann die verbleibenden Vermögenswerte nach Überprüfung des Netzwerks und des Ziels auf die neuen Adressen verschieben. Das Importieren der alten Wiederherstellungsphrase in eine andere App würde das Risiko aufrechterhalten.
Nutzer sollten unbekannte Wallet-Verbindungen widerrufen und aktive Sitzungen überprüfen. Apple-Konto-, E-Mail-, Exchange- und Finanzpasswörter müssen möglicherweise von einem vertrauenswürdigen Gerät ersetzt werden, wenn ein größerer Datendiebstahl besteht. Apple rät außerdem, nicht erkannte Geräte aus ihren Konten zu entfernen.
Bevor ein wertvolles Gerät gelöscht wird, benötigt der Besitzer möglicherweise professionelle mobile Forensiker, da ein Reset Beweise zerstören kann. SlowMist empfiehlt, forensische Daten von exponierten Geräten zu bewahren. Transaktions-Hashes, Wallet-Adressen, Daten, Screenshots und Warnungen sollten ebenfalls gespeichert werden.
Opfer müssen jeden meiden, der eine Wiederherstellung für eine Vorauszahlung verspricht. Der legitime Wallet-Support würde keine Seed-Phrase oder einen privaten Schlüssel anfordern. Aktuelle Software, offline Seed-Speicher und schnelles Handeln bleiben die stärksten Schutzmechanismen gegen Wallet-Diebstahl-Malware.
Verwandt: Cronos-Netzwerk stoppt nach Tectonic Exploit, was passiert mit den Nutzergeldern?
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
