CZ ostrzega użytkowników iPhone’ów: zaktualizujcie iOS, ponieważ DarkSword budzi obawy o bezpieczeństwo portfeli

Ostrzeżenie CZ stawia aktualizacje urządzeń w centrum bezpieczeństwa portfeli

Współzałożyciel Binance Changpeng Zhao, powszechnie znany jako CZ, zaapelował do użytkowników iPhone’ów o zainstalowanie najnowszych aktualizacji iOS w poście opublikowanym 6 listopada na X. Szczególny nacisk położył na osoby, które od pewnego czasu nie aktualizowały swoich urządzeń. Wpis pojawił się po doniesieniach o DarkSword — exploicie, który ma wykorzystywać złośliwe strony otwierane w Safari do atakowania informacji przechowywanych na iPhone’ach. Bezpośrednim problemem jest bezpieczeństwo urządzenia przechowującego dane portfela, a nie tylko bezpieczeństwo samej aplikacji portfela.

CZ zwrócił też uwagę na łatwą do przeoczenia różnicę: aktualizacja aplikacji portfela kryptowalutowego nie aktualizuje systemu operacyjnego telefonu. W swoim wpisie podkreślił, że samodzielne przechowywanie środków wymaga od użytkowników dbałości zarówno o aktualizacje urządzenia, jak i o zarządzanie portfelem. To rozróżnienie ma znaczenie w opisywanym scenariuszu, ponieważ domniemanym sposobem uzyskania dostępu do telefonu jest zainfekowana strona internetowa, a nie luka, która koniecznie wymagałaby podjęcia działań w aplikacji portfela.

Zgłoszone zagrożenie polega na tym, że ktoś może ujawnić poufne informacje, po prostu odwiedzając zainfekowaną stronę — bez łączenia portfela, podpisywania transakcji ani udzielania zgody. Użytkownik kryptowalut, który opisał zagrożenie, wskazał przechowywane na urządzeniu pliki portfela i frazy odzyskiwania jako potencjalne cele ataku. Wyjaśnia to, dlaczego zgłoszenie przyciągnęło uwagę osób samodzielnie przechowujących swoje aktywa: zagrożone mogą być informacje pozwalające uzyskać kontrolę nad portfelem, nawet jeśli użytkownik nie inicjuje żadnej transakcji kryptowalutowej.

Co badacze zgłosili na temat DarkSword

Doniesienia o DarkSword dotyczą nie tylko możliwego sposobu przedostania się do urządzenia. Badacz zagrożeń Officer’s Notes poinformował, że za pośrednictwem tej luki skradziono już kryptowaluty o wartości około 5,57 mln dolarów. Według jego relacji w rozpowszechnianie złośliwego kodu zaangażowanych było także ponad 18 stron internetowych. Są to dane podane przez badacza, a nie ustalenia niezależnie potwierdzone w dostarczonych materiałach. Opisują więc deklarowaną skalę zjawiska i należy je interpretować z uwzględnieniem tego źródła.

Officer’s Notes poinformował ponadto, że DarkSword oferowano w internecie za 30 000 dolarów, a sprzedawca wymieniał iOS 18.6.2 jako najnowszą obsługiwaną wersję oprogramowania układowego. Badacz stwierdził również, że znalazł znaczniki zastępcze dla iOS 26 i 27. Może to wskazywać na przygotowania do potencjalnych przyszłych exploitów, jednak same znaczniki nie potwierdzają, że istnieją działające ataki na te wersje. Relacja przedstawia je jako możliwy sygnał planowanych prac, a nie dowód obecnych możliwości.

Badacz powiedział, że Apple załatało już wszystkie sześć luk wykorzystanych w znanym łańcuchu exploitów. To ważne zastrzeżenie do ostrzeżeń: nie twierdzi się, że cały opisany łańcuch opiera się na niezałatanych lukach. Jednak Officer’s Notes poinformowało, że części starszej wersji nadal można ponownie wykorzystać, i podało, że znalazło jej wariant z funkcją przeznaczoną do obsługi portfela imToken. Dostępne informacje nie precyzują, w jakich warunkach ten kod pozostaje użyteczny ani nie wskazują wszystkich urządzeń, których dotyczy problem.

Wcześniejsze incydenty dotyczące iPhone’ów uwidaczniają skalę zagrożenia

Doniesienia wskazują zatem na dwie powiązane, lecz odrębne kwestie: czy na telefonie zainstalowano poprawki usuwające luki zidentyfikowane w znanym łańcuchu oraz czy starszy kod ukierunkowany na portfele nadal można wykorzystać w innym celu. Według badacza poprawki Apple usuwają luki wskazane w tym łańcuchu, natomiast twierdzenie o możliwości ponownego wykorzystania komponentów dotyczy kodu ze starszej wersji. Źródło nie dowodzi, że każdy iPhone pozostaje zagrożony, ani nie podaje pełnej listy urządzeń lub wersji oprogramowania narażonych na atak.

W przypadku osób, które przechowują frazy odzyskiwania lub pliki portfela na telefonie, rzekoma ścieżka niewymagająca zatwierdzenia zmienia typowy sposób myślenia o bezpieczeństwie transakcji. Użytkownik może zakładać, że zanim aktywa zostaną narażone na ryzyko, pojawi się prośba o połączenie z portfelem lub podpis. W opisie wskazano jednak, że wrażliwe dane mogą stać się celem po odwiedzeniu zainfekowanej strony. Nie oznacza to, że każda wizyta prowadzi do kradzieży; pokazuje natomiast, że bezpieczeństwo urządzenia i przeglądania internetu może mieć znaczenie obok zabezpieczeń wbudowanych w oprogramowanie portfela.

DarkSword nie jest jedynym problemem związanym z bezpieczeństwem iPhone’ów, o którym wspomniano w źródle w kontekście kryptowalut. Osobna luka w silniku renderującym grafikę 2D Apple CoreGraphics mogła umożliwić uruchomienie złośliwego kodu podczas przetwarzania przez urządzenie odpowiednio spreparowanego pliku. Według opisu Apple załatało tę lukę pod koniec września, wydając aktualizacje oznaczone jako iOS 26.7.1 i iPadOS 26.7.1. W relacji nie łączy się tego incydentu technicznie z DarkSword; jest on istotny jako kolejny zgłoszony przykład zagrożenia na poziomie urządzenia.

Co wiadomo, a co pozostaje niewyjaśnione

Według przekazanych informacji Apple przyznało, że luka w CoreGraphics mogła być wykorzystywana w wysoce zaawansowanych atakach wymierzonych w konkretne osoby. SlowMist zareagowało wówczas ostrzeżeniem dla użytkowników kryptowalut, by aktualizowali urządzenia i unikali podejrzanych linków oraz plików do pobrania. Ta historia stanowi kontekst dla obecnego nacisku CZ na aktualizowanie systemów operacyjnych, ale nie dowodzi, że wcześniejsza luka i DarkSword to ten sam exploit. Przedstawiono te incydenty jako odrębne przypadki naruszenia bezpieczeństwa, które łączy troska o wrażliwe informacje.

Kolejny przypadek dotyczył aplikacji FomoPeek. Według doniesień SlowMist i zespół ds. bezpieczeństwa OKX znaleźli w niej złośliwy kod, który mógł wykorzystywać luki w systemie iOS i uzyskiwać dostęp do poufnych informacji wykraczający poza zakres uprawnień, jakie FomoPeek zwykle posiadała. Przedstawiony raport nie podaje, ilu użytkowników ucierpiało, jakie poniesiono straty ani kiedy doszło do ewentualnej kradzieży. Znaczenie tego przypadku jest tu bardziej ograniczone: zainstalowane aplikacje, podobnie jak strony internetowe i luki w systemach operacyjnych, również wskazano jako możliwą drogę dostępu do informacji wykraczających poza oczekiwany zakres uprawnień.

W relacji o DarkSword wciąż pozostaje kilka niewiadomych: pełna skala problemu z urządzeniami, których dotyczył, sposób weryfikacji zgłoszonych kradzieży oraz to, czy zidentyfikowany starszy kod może w praktyce działać na obecnym oprogramowaniu. Raport informuje, że sześć luk wykorzystanych w znanym łańcuchu ataku zostało załatanych, ale nie rozwiewa tych szerszych wątpliwości. Zalecenie CZ jest jasne mimo tej niepewności — aktualizować iOS — jednak źródło nie daje podstaw, by uznać, że problem dotyczy każdego użytkownika iPhone’a albo że sama aktualizacja rozwiązuje wszystkie kwestie związane z bezpieczeństwem portfeli.

Źródło: CryptoPotato