慢雾安全官警告黑灰产已拼出针对iOS的完整攻击链，用户点开链接后，可能被取走私钥与助记词
慢雾首席信息安全官23pds称，黑灰产已拼出针对iOS的完整攻击链：用户点开链接后，可能被取走私钥与助记词。他划定受影响范围为iOS 13至26.5，并建议立刻升级系统。
其描述的路径停在结果层：Safari打开网页后，浏览器引擎内存问题被用来取得脚本层读写；再突破指针认证与网页内容沙箱，直至内核提权、读取钥匙串和钱包数据。公开报道把此链与此前泄露、已出现实战复用的DarkSword工具联系起来。3月工具流出后，9月初慢雾还通报过伪装免费服务器的钓鱼页，针对当时未打补丁的18.4至18.6.2，可在钱包应用前台时采集输入。当时六处漏洞已被苹果修补，访问页面本身不等于助记词已失，需取证确认。
同期另有FomoPeek 1.1至1.2被指夹带iOS内核利用框架，按机型与系统版本自动选路，波及约12.0至18.7以及26.0至26.1；成功则可出沙箱并解密钥匙串。苹果在26.5.2等版本修过多处WebKit与内核问题，官方并未把这批补丁标成“已在野利用”。23pds此番把上沿写到26.5，等于警告未升到更新补丁号的设备仍暴露。
钱包侧常见被点名的仍是把密钥放在设备钥匙串或允许Safari打开未知页的热钱包。硬件钱包与离线备份不在这条浏览器链的直接射程里。慢雾与OKX安全团队曾联合核查部分被盗案例与恶意应用版本的对应关系，但未发布按地址统计的总损失表。
谁在买、谁在卖：买的是能一键打开的恶意页与过期漏洞包，卖的是钥匙串里的助记词。事件由安全人员预警驱动，资金从热钱包地址迁向攻击者控制地址，而不是从代币基本面流出。受益方是已升级并改用冷存储的持币人，承压方是停在26.5及以下、仍用Safari点开空投与“免费服务器”链接的用户。苹果补丁节奏决定窗口长短，黑产复用n-day决定窗口有没有被定价。
链上未见与本条预警绑定的统一被盗清单；可核验的是安全公司声明、先前DarkSword实战通报，以及苹果已发布更高小版本补丁。
来源：公开信息
ABAB AI 解读
加密安全公司的战场早已从合约重入转到手机浏览器。SlowMist把Safari写成热钱包的第一道门：密钥若进钥匙串，网页进程一旦拿到根权限，应用层密码学不再重要。DarkSword先泄露再被复用，说明零日卖给国家队、n-day卖给灰产的分层市场仍在运转。
资本路径是：钓鱼页成本接近零，收益是整包助记词。攻击者不需要破解椭圆曲线，只需要用户停留在未打补丁的系统版本。FomoPeek类应用把利用框架塞进看似正常的客户端，是另一条分发：应用商店审核看功能，不看隐藏的内核模块。安全公司与交易所联合取证，是为了把“点过链接”和“钥匙已走”拆开，避免恐慌性误报本身成为第二次伤害。
对标是安卓端剪贴板木马与早期Google Chrome漏洞链，以及针对硬件钱包固件的供应链事件。iOS长期被当成比安卓更安全的热钱包容器，这条预警把假设改成：安全边界在补丁号，不在系统品牌。行业阶段从“别签恶意授权”转入“别让浏览器碰到钥匙串”。
结构判断属于技术替代。机制是：热钱包把私钥留在通用操作系统里，操作系统把网页引擎当成高危面；灰产把两条面焊成一条链后，移动端自托管的成本从“记住助记词”变成“必须跑在最新补丁且减少浏览器暴露”。硬件隔离与交易所托管因此重新获得溢价，不是因为它们更去中心化，而是因为它们不把根权限和助记词放在同一块芯片的同一用户会话里。
ABAB News · 认知定律
热钱包的门，开在浏览器里
补丁未打，零日就变n-day商品
沙箱只防普通应用，不防过期内核窗口