CertiK تحذر من حزمة DarkSword التي تستغل ست ثغرات في iOS لاستهداف محافظ العملات الرقمية

CertiK ترصد هجومًا لا يتطلب أي توقيع

حذّرت شركة الأمن السيبراني CertiK في تنبيه نشرته يوم 6 نوفمبر عبر منصة X من نسخة محدثة من حزمة الاختراق DarkSword الموجهة لهواتف iPhone، قادرة على اختراق الأجهزة غير المحدثة والوصول إلى محافظ العملات الرقمية المخزنة عليها، دون أي اتصال بالمحفظة ودون أي موافقة على عملية. ووفق التنبيه، قد يكفي مجرد فتح صفحة خبيثة في متصفح Safari لتقع الكارثة. وقد ذكرت الشركة أن الحزمة تستهدف تطبيقات MetaMask وTrust Wallet وPhantom وExodus وCoinbase، إضافة إلى كلمات المرور والعبارات الاستردادية المحفوظة في أماكن أخرى من الجهاز. يستند هذا التحذير إلى سلسلة استغلال وثّقتها مجموعة Google للذكاء الاصطناعي التهديدي في تقرير بتاريخ 18 مارس، ضمّت ست ثغرات تمتد من iOS 18.4 حتى iOS 18.7. وقد حددت Google ثلاث عائلات من البرمجيات الخبيثة تُنشر بعد نجاح الاختراق، هي GHOSTBLADE وGHOSTKNIFE وGHOSTSABER، قادرة على حصاد بيانات المحافظ وسلاسل مفاتيح الجهاز وقواعد بيانات تطبيق الملاحظات وسجلات المتصفح والملفات الشخصية، ورصدت حملات استهدفت مستخدمين في السعودية وتركيا وماليزيا وأوكرانيا يعود تاريخها على الأقل إلى نوفمبر 2025. أما Apple فقد رقعت الثغرات مع إصدار iOS 26.3، مع وصول معظم الإصلاحات قبل ذلك.

@CertiKAlert · منشور على X

منصة X.

عرض على X

لم تتوقف الحزمة عن التطور. فقد كشفت شركة أمن الهواتف iVerify عن متغير يحمل الاسم P7 في تقرير بتاريخ 8 أكتوبر، بعد التحقيق في إصابة رُصدت على جهاز تابع لأحد عملائها في أغسطس. ينقل هذا الزرع نبضاته إلى خادم الأوامر كل 15 ثانية افتراضيًا، ويعالج بيانات سلسلة المفاتيح على الهاتف ذاته قبل إرسالها، ويحمل أمرًا مخصصًا لتحديد تطبيقات المحافظ المثبتة واستخراج بيانات imToken. وفي تحقيق منفصل بتاريخ 21 أكتوبر، تعاونت iVerify مع Report URI لتتبع آلية التوزيع، فوجدت إعلانات خبيثة منها إعلان على Instagram مستلهم من كأس العالم أصاب موظفًا بينما كان يتصفح صفحته الرئيسية، إضافة إلى حملة أطلق عليها DeadTag بُنيت على مئات النطاقات التحليلية المعاد تسجيلها، وقد استقطبت شبكتها ما يقدر بنحو 135 مليون زيارة شهرية. وعرضت صفحة مزيفة تحاكي Polymarket متغيرين من DarkSword، فأصابت الأجهزة الهشة تلقائيًا بمجرد تحميل الصفحة. وقد أوصت CertiK باستخدام محفظة أجهزة للأرصدة الكبيرة، وتفعيل وضع القفل Lockdown Mode للمستخدمين الأكثر عرضة للخطر.

CZ يدعو إلى التحديث مع ظهور خسائر بـ5.57 مليون دولار

أضاف تشانغبينج تشاو، المؤسس المشارك لمنصة Binance، صوتًا علنيًا يوم الجمعة، فاستخدم حسابه على X ليدعو مستخدمي iPhone إلى تحديث أنظمتهم فورًا، مع رسالة لا غبار عليها لمن يصرّ على إصدار قديم: لا يمكن لأي تطبيق محفظة أن يرقّع النظام الذي يعمل تحته، وحفظ المستخدم لمفاتيحه بنفسه يعني تحمّله كامل المسؤولية. وجاء منشوره بعد تقديرات الباحث الأمني المعروف باسم Officer's Notes بأن نحو 5.57 مليون دولار من الأصول الرقمية جرى انتزاعها عبر هذه الثغرة، موزعة على أكثر من 18 موقعًا يستضيف الشيفرة الخبيثة. وذكر الباحث نفسه أن الحزمة تُباع على الإنترنت بنحو 30,000 دولار، وأن أحد إصداراتها يأتي بوحدة مبنية خصيصًا لاستهداف محفظة imToken. وقد رقعت Apple الثغرات الست التي تربطها الحزمة، فيما يرى Officer's Notes أن iOS 18.6.2 هو آخر إصدار يدعمه DarkSword، وهو ما يجعل الخطر محصورًا في الأجهزة التي بقيت بلا تحديث لأشهر. ومع ذلك، تحمل شيفرة الحزمة إشارات إلى iOS 26 و27، ما يوحي بأن مطوريها يجهزون اختراقات لإصدارات النظام القادمة. الحادثة ليست معزولة: في سبتمبر رقعت Apple ثغرة في محرك الرسوميات CoreGraphics أقرّت بأنه ربما جرى استغلالها في هجمات متقنة ضد أشخاص محددين، كما سبق أن عثرت SlowMist وOKX على شيفرة خبيثة في تطبيق FomoPeek قادرة على تجاوز أذوناتها المعتادة على iOS. وتلتقي توصيات الباحثين عند قائمة قصيرة: تثبيت أحدث إصدار من iOS عبر الإعدادات ثم عام ثم تحديث البرامج، وعدم حفظ العبارة الاستردادية إطلاقًا في الملاحظات أو الصور أو لقطات الشاشة، والتعامل بشك مع الروابط المتداولة في مجموعات Telegram والرسائل المباشرة. أما الجهاز الذي يُشتبه باختراقه فلا إصلاح نظيف له سوى إنشاء محفظة جديدة على جهاز محدث ونقل الرصيد إليها، دون إعادة استخدام العبارة القديمة أبدًا، وهي خطوات يغطي دليلنا الخاص باسترداد محفظة معرضة للاختراق خطوة بخطوة.

@cz_binance · منشور على X

حسابه على X.

عرض على X

آيفون المهمل هو سطح الهجوم الحقيقي

الوثيقة الحاسمة في هذه القضية هي تنبيه CertiK نفسه، إذ ينص على أن الاختراق لا يحتاج إلى اتصال بالمحفظة ولا إلى توقيع، وهو ما يقلب العادة التي تعتمد عليها معظم تدريبات الحفاظ الذاتي على المفاتيح. وبقراءة التنبيه إلى جانب أرقام الخسائر، يتضح أن الانكشاف يتركز في الهواتف التي تعمل بإصدارات iOS أقدم من الرقع التي شحنتها Apple حتى iOS 26.3، وأن معظم التطبيقات الخمسة المذكورة هي محافظ ساخنة تعمل على الهاتف وتحتفظ بمفاتيح يستطيع الجهاز قراءتها. لذلك تظل العزل عبر الأجهزة والتخزين البارد والانضباط في التعامل مع العبارة الاستردادية، عبر كل أنواع محافظ العملات الرقمية الشائعة، أقوى ضمانة من مجرد اختيار تطبيق بعينه. وتشير الإشارات إلى iOS 26 و27 داخل شيفرة الحزمة إلى أن عائلة الاختراق هذه تعتزم مواصلة التطور.