資安公司慢霧（SlowMist）最新威脅情報指出，今年 3 月起陸續公開在 GitHub 上的 iOS 漏洞利用鏈「DarkSword」，已被包裝成附帶管理後台與加密錢包竊取模組的整套攻擊框架，並自 9 月底開始實際上線運作。慢霧提醒，用 Safari 開啟惡意網頁就可能觸發攻擊，曾造訪可疑網頁的裝置應將助記詞視為可能已外洩。
（前情提要：iPhone 用戶注意！新惡意程式「黑劍」襲擊，瀏覽網站數秒就能掏空加密錢包）
（背景補充：小心！這款巨鯨監控 App「FomoPeek」暗藏漏洞，大量用戶金鑰失竊）
區塊鏈資安公司慢霧（SlowMist）於台北時間 10 月 19 日晚間 在 X 發布威脅情報，指出 iOS 漏洞利用鏈 DarkSword 的程式碼自今年 3 月公開後，7 月出現名為 DarkSword-PROV2 的 GitHub 專案，相關攻擊基礎設施則在 9 月下旬被觀察到上線。慢霧追蹤了正在運作的攻擊伺服器，並將其管理後台與公開 GitHub 程式碼庫一一對應，認為公開的漏洞元件已被整合成可直接部署的攻擊框架，大幅降低發動 iOS 攻擊的門檻。
從公開研究到「開箱即用」的攻擊套件
DarkSword 最早由 Google 威脅情報小組（GTIG）於 3 月 18 日揭露，該鏈結合 6 個漏洞，可在 iOS 18.4 至 18.7 上完整攻陷裝置，並已被多個商業監控業者與疑似國家級駭客使用；Lookout 與 iVerify 同步發表的分析也指出，其竊取目標涵蓋大量加密錢包與交易所 App。
據 慢霧完整報告，3 月 21 日至 24 日間 GitHub 上陸續出現 5 個重建 DarkSword 原始碼的專案；7 月 19 日出現的 DarkSword-PROV2 則不再是研究性質，而是包含漏洞鏈、投遞伺服器、管理後台、資料庫與說明文件的完整套件，說明文件甚至寫明完整 PRO 版需透過 Telegram 聯繫，技術支援收費 5,000 USDT。慢霧比對後發現，攻擊者伺服器上的漏洞檔案與公開程式庫雜湊值相同，但額外加入了上游版本沒有的加密錢包模組，包含 imToken、TokenPocket、TronLink 等錢包的 keystore 解密功能。
號稱支援 iOS 13 起，實際可攻陷版本較窄
慢霧特別釐清，該工具雖宣稱支援 iOS 13 以上、內建超過 1,000 筆酬載，但依攻擊者自己的路由程式碼，能完整執行的版本只有兩段：iOS 18.6 至 18.7.2，以及 iOS 26.0 至 26.1。程式註解也寫明 iOS 26.3 以後已無可用漏洞；後台列出的部分 iOS 26.3 以上裝置，僅代表曾造訪落地頁，不代表已被攻破。
從後台數據看，實際成功率並不高：慢霧檢視的 30 天期間內有 20,187 次頁面造訪、1,187 次漏洞利用嘗試，最終僅 10 次利用成功、9 次完成資料外傳；後台共記錄 57 台裝置，分布於澳洲、馬來西亞、拉脫維亞、南韓、烏克蘭、中國江西與香港。攻擊者則以「AI 股票分析器」、名錶收購等主題假網站作為誘餌，後台另備有區塊鏈贈獎、iOS 系統更新、Apple ID 登入等落地頁範本。報告未揭露受害者的損失金額。
慢霧建議：可疑裝置上的錢包應全部轉移
慢霧建議用戶保持 iOS 更新、避免點擊不明連結；若裝置曾造訪可疑頁面，應將助記詞與私鑰視為可能外洩，改用從未開啟該頁面的裝置建立新錢包並轉移資產，同時檢查各鏈異常交易與代幣授權並撤銷不必要的授權。GTIG 則建議無法更新的用戶啟用鎖定模式（Lockdown Mode）。
此案顯示，原本由國家級駭客與監控業者使用的 iOS 漏洞鏈，在程式碼公開後數月內即被改造成鎖定加密錢包的商品化工具；慢霧上月也曾揭露 App Store 應用 FomoPeek 暗藏核心漏洞模組的事件。對持有加密資產的 iPhone 用戶而言，系統版本是否已更新，直接決定了裝置是否落在這波攻擊的可利用範圍內。
📍相關報導📍
卡巴斯基揭密 OkoBot 惡意攻擊：20＋程式聯手竊走加密錢包助記詞
