慢霧安全官警告黑灰產已拼出針對iOS的完整攻擊鏈，用戶點開鏈接後，可能被取走私鑰與助記詞

慢霧首席信息安全官23pds稱，黑灰產已拼出針對iOS的完整攻擊鏈：用戶點開鏈接後，可能被取走私鑰與助記詞。他劃定受影響範圍爲iOS 13至26.5，並建議立刻升級系統。

其描述的路徑停在結果層：Safari打開網頁後，瀏覽器引擎內存問題被用來取得腳本層讀寫；再突破指針認證與網頁內容沙箱，直至內核提權、讀取鑰匙串和錢包數據。公開報道把此鏈與此前泄露、已出現實戰複用的DarkSword工具聯繫起來。3月工具流出後，9月初慢霧還通報過僞裝免費服務器的釣魚頁，針對當時未打補丁的18.4至18.6.2，可在錢包應用前臺時採集輸入。當時六處漏洞已被蘋果修補，訪問頁面本身不等於助記詞已失，需取證確認。

同期另有FomoPeek 1.1至1.2被指夾帶iOS內核利用框架，按機型與系統版本自動選路，波及約12.0至18.7以及26.0至26.1；成功則可出沙箱並解密鑰匙串。蘋果在26.5.2等版本修過多處WebKit與內核問題，官方並未把這批補丁標成“已在野利用”。23pds此番把上沿寫到26.5，等於警告未升到更新補丁號的設備仍暴露。

錢包側常見被點名的仍是把密鑰放在設備鑰匙串或允許Safari打開未知頁的熱錢包。硬件錢包與離線備份不在這條瀏覽器鏈的直接射程裏。慢霧與OKX安全團隊曾聯合覈查部分被盜案例與惡意應用版本的對應關係，但未發佈按地址統計的總損失表。

誰在買、誰在賣：買的是能一鍵打開的惡意頁與過期漏洞包，賣的是鑰匙串裏的助記詞。事件由安全人員預警驅動，資金從熱錢包地址遷向攻擊者控制地址，而不是從代幣基本面流出。受益方是已升級並改用冷存儲的持幣人，承壓方是停在26.5及以下、仍用Safari點開空投與“免費服務器”鏈接的用戶。蘋果補丁節奏決定窗口長短，黑產複用n-day決定窗口有沒有被定價。

鏈上未見與本條預警綁定的統一被盜清單；可覈驗的是安全公司聲明、先前DarkSword實戰通報，以及蘋果已發佈更高小版本補丁。

來源：公開信息