脆弱性が残るiOSが対象、OS更新と不審なリンクへの警戒呼びかけ
ブロックチェーンセキュリティ企業スローミスト（SlowMist）が、iPhoneを狙う攻撃手法「ダークソード（DarkSword）」を悪用した攻撃基盤の調査結果を10月19日に公表した。
脆弱性が残るiOSでは、サファリ（Safari）で攻撃用コードが埋め込まれたページを開くだけで、端末に侵入される恐れがある。攻撃が成功すると、暗号資産（仮想通貨）ウォレットのデータや、パスワードなどを管理する「キーチェーン（Keychain）」の情報が収集され、外部に送信されるという。
ダークソードは、複数の脆弱性を組み合わせて端末に侵入する「エクスプロイトチェーン」だ。攻撃者は、アプリが扱える情報を制限する「サンドボックス」を突破し、通常はアクセスできないデータを取得する。グーグル（Google）の脅威分析チーム「Google Threat Intelligence Group（GTIG）」などが今年3月に調査結果を公表していた。
スローミストによると、公開された攻撃コードを組み込んだ基盤が9月下旬にオンラインで稼働していたという。同社は今回、その管理画面やウォレット情報の窃取機能などを解析した。
解析したコードには、ウォレット「imToken」「TokenPocket」「TronLink」を狙う処理が含まれていた。攻撃側の管理機能には、取得したウォレットの復元フレーズを使った残高確認や資金集約の仕組みもあったという。こうした復元情報の流出は、暗号資産の不正移転につながる恐れがある。
同社は、コード解析に基づき、攻撃に必要な手順がそろっていた範囲を、iOS 18.6〜18.7.2とiOS 26.0〜26.1と分析した。ただし、これは記載したすべてのバージョンの端末で攻撃成功を実証したことを意味するものではない。
スローミストは、iOSを最新の状態に保つことや、SMS・個別メッセージで届く信頼できないリンクを開かないよう呼びかけている。
アップル（Apple）は、4月2日付の公式サポートページで、古いiOSを狙うWeb経由の攻撃への対策としてOSの更新を案内している。同社は、同ページで扱う攻撃について、最新のソフトウェアに更新した端末は保護されていると説明。更新が難しい場合には、端末の機能を制限して攻撃のリスクを抑える「ロックダウンモード」の利用を検討するよう呼びかけている。
🚨 Threat Intelligence | Analysis of the DarkSword Trojan Backend and iOS Attack Chain Following the public release of #DarkSword-related exploit code in March 2026, DarkSword-PROV2 appeared on GitHub in July, with the attack infrastructure observed operating online in late September. We traced the live attack infrastructure, linked its admin panels to public GitHub repositories, and analyzed the exploit code, payload library, delivery chain, and post-exploitation capabilities. 🔍 Key Findings: 🔹 A complete attack pipeline: The infrastructure integrates exploit delivery, device and data collection, data exfiltration, and crypto wallet fund consolidation. 🔹 Extensive data theft capabilities: The toolkit targets Keychain data, files, messages, and crypto wallet data, with additional capabilities for wallet data decryption and fund consolidation. 🔹 Broader claimed coverage, narrower functional coverage: Although the toolkit claims support for iOS 13 and later, code analysis identifies two functional exploit windows: iOS 18.6–18.7.2 and iOS 26.0–26.1. Many other version entries remain incomplete or unverified. 🔹 Public code weaponized: Publicly available exploit components have been integrated into a deployable attack framework, lowering the barrier to launching sophisticated #iOS attacks. 🛡️ Recommendations Keep iOS updated and avoid untrusted links. Simply opening a malicious page in #Safari may trigger exploitation. If a device has visited a suspicious landing page, treat its seed phrases and private keys as potentially compromised. Use a device that has never accessed the page to create a new wallet and transfer your assets. Also check for abnormal transactions and token approvals across chains, and revoke unnecessary approvals. 🔗 Read the full analysis: https://t.co/B1hYr9mGl5
— SlowMist (@SlowMist_Team) October 19, 2026
参考：SlowMist調査報告・Google Threat Intelligence Group調査報告・Lookout調査報告・Apple公式案内
画像：PIXTA