CertiK waarschuwt: DarkSword-lek in iOS maakt cryptowallets op oude iPhones kwetsbaar

Wie crypto op een iPhone bewaart en zijn software-updates uitstelt, loopt volgens CertiK een reëel risico. Het beveiligingsbedrijf waarschuwde op 6 november dat aanvallers een nieuwere versie van de iOS-exploitkit DarkSword gebruiken om wallets te plunderen. Je hoeft daarvoor niets te ondertekenen of goed te keuren. "Simply opening a malicious site in Safari can be enough: no wallet connection, no signature needed", schreef CertiK. Je hoeft dus alleen een kwaadaardige site in Safari te openen. Volgens CertiK zijn onder meer MetaMask, Trust Wallet, Phantom, Exodus en Coinbase doelwit, net als wachtwoorden en herstelzinnen die ergens anders op de telefoon staan.

Het lek zit in de telefoon, niet in de wallet

Het verraderlijke aan DarkSword is dat het de veiligheidsgewoontes omzeilt die cryptogebruikers zichzelf hebben aangeleerd. Wie elke transactie controleert en nooit blind een wallet koppelt aan een onbekende dApp, is hier toch kwetsbaar. De aanval richt zich op het besturingssysteem. Volgens Macworld valt DarkSword WebKit en JavaScriptCore aan, de onderdelen waarmee iOS webpagina's verwerkt. Van daaruit komen de aanvallers verder in het systeem.

Google Threat Intelligence Group beschreef de oorspronkelijke keten op 18 maart. Door zes kwetsbaarheden te combineren konden aanvallers een toestel overnemen en spyware installeren. Een van die malwarefamilies, GHOSTBLADE, verzamelde onder meer walletgegevens, de keychain van het toestel, berichten en Notities. Google zag campagnes in Saoedi-Arabië, Turkije, Maleisië en Oekraïne, waar zowel commerciële spywareleveranciers als vermoedelijk door staten gesteunde groepen bij betrokken waren.

Van spionagetool naar walletdief

Sindsdien draait het minder om spionage en meer om geld. Op 8 oktober beschreef iVerify de variant P7 DarkSword. Die kan opsporen welke wallet-apps op een telefoon staan, haalt walletdata uit imToken en verwerkt keychaininformatie al op het toestel voordat die wordt doorgestuurd. Volgens The Hacker News werkten de onderzoekers met een nieuwere build die naar andere infrastructuur rapporteert en op veel meer wallets jaagt. In hetzelfde verslag beschreef Censys hoe aanvallers DarkSword combineren met Coruna, een tweede exploitkit die oudere iOS-versies van 13.0 tot en met 17.2.1 aanvalt. "Operators run DarkSword and Coruna together against their own C2 infrastructure", aldus Censys. Volgens Macworld vond Censys ook doelwitten als Bitpie, imToken, Uniswap en OKEx, en zoekt de malware in Foto's en Notities naar BIP39-herstelzinnen.

Besmet terwijl je door Instagram scrolt

Wat de dreiging groter maakt, is de manier waarop DarkSword wordt verspreid. Onderzoek van iVerify en Report URI liet zien dat een Instagram-advertentie met een WK-thema het toestel van een medewerker besmette terwijl die gewoon door zijn feed scrolde. Bij een campagne die DeadTag wordt genoemd, kochten aanvallers verlopen domeinen op die vroeger van analytics- en advertentiediensten waren. Via oude scripts die nog op duizenden websites staan, stuurden ze bezoekers door. Dat netwerk krijgt volgens de onderzoekers 135 miljoen bezoeken per maand. Een nepversie van Polymarket verspreidde zowel Coruna als P7 DarkSword.

Wat je nu moet doen

Het goede nieuws: Apple heeft alle gebruikte lekken gedicht, uiterlijk in iOS 26.3. Volgens Macworld lopen vooral gebruikers van oudere versies van iOS 26, iOS 18 en daarvoor risico. CertiK geeft deze adviezen:

• Update via Instellingen, Algemeen, Software-update.
• Bewaar je seedphrase nooit in Foto's, Notities of screenshots.
• Gebruik een hardware wallet voor grotere bedragen en zet Isolatiemodus aan als je een hoger risico loopt.
• Vermoed je een besmetting? Maak dan op een schoon, bijgewerkt toestel een nieuwe wallet aan, zet je geld daarheen en gebruik de oude herstelzin nooit meer.

iVerify raadt daarnaast aan alle wachtwoorden in de keychain van een getroffen telefoon te wijzigen. Voor beginners is de les simpel: een herstelzin is de sleutel tot je geld en hoort niet digitaal op je telefoon te staan. Voor ervaren gebruikers is de les ongemakkelijker. Self-custody is maar zo veilig als het toestel waarop je wallet draait, en een uitgestelde iOS-update kan je je volledige wallet kosten.