슬로우미스트, 다크소드(DarkSword) 트로이목마 분석 보고서 발표: 공개된 코드가 무기화되며 iOS 기반 암호화 지갑에 위협 발생

10월 19일, 보안 기관 슬로우미스트(SlowMist)는 다크소드(DarkSword) 트로이목마 백엔드 및 iOS 플랫폼 상의 완전한 공격 체인을 집중 분석한 심층 위협 정보 보고서를 발표했다. 이 보고서는 공격 인프라의 진화 과정을 체계적으로 재구성했으며, 암호화폐 자산 사용자에게 실질적이고 심각한 위협을 가하고 있음을 명확히 지적했다.

슬로우미스트 분석에 따르면, 관련 취약점 공격 코드가 2026년 3월 공개된 이후, 다크소드-PROV2(DarkSword-PROV2)는 동년 7월 GitHub 플랫폼에서 최초로 확인됐다. 9월 말까지는 이에 대응하는 공격 인프라가 실전 운영에 투입된 것이 관측됐다. 슬로우미스트 팀은 활성화된 온라인 인프라를 지속 감시함과 동시에, 관리 패널과 GitHub에 공개된 코드 저장소 간 연계를 성공적으로 확립했으며, 취약점 활용 모듈, 악성 유포 경로, 그리고 기기 침해 후 수평 이동 능력에 대해 역공학 분석 및 기능 검증을 완료했다.

보고서에서 공개된 핵심 발견 사항은 다음과 같다:
· 취약점 트리거 기반 유포, 기기 지문 및 민감 정보 수집, 다차원 데이터 탈취, 암호화폐 지갑 자금의 정밀 집중까지 아우르는 고도로 자동화된 엔드투엔드 공격 파이프라인;
· 일반적인 데이터 탈취 범위를 넘어선 확장 기능: 키체인(Keychain), 로컬 파일, 문자 메시지 외에도, 암호화폐 지갑 데이터 추출을 특화해 설계되었으며, 지갑 복호화 및 자금 이체까지 수행 가능;
· 공식적으로는 iOS 13 이상 버전 호환을 선언했으나, 코드 수준 분석 결과 실제 공격 성공률이 높은 버전 구간은 두 가지로 한정됨 — iOS 18.6–18.7.2 및 iOS 26.0–26.1;
· 원래 공개됐던 취약점 구성 요소가 심층적으로 무기화되어, 즉시 배포 가능한 공격 프레임워크에 매끄럽게 통합됐으며, 고은폐성 iOS 공격 발동에 필요한 기술 장벽을 크게 낮췄다.

이러한 위험에 대응해 슬로우미스트는 구체적인 보호 조치를 제안했다: 사용자는 반드시 iOS 시스템을 최신 버전으로 즉시 업데이트해야 하며, 출처가 불분명하거나 신뢰할 수 없는 링크 클릭을 절대 금지해야 한다 — 악성 페이지를 Safari에서 단 한 번 열기만 해도 취약점이 자동으로 트리거되기 때문이다. 만약 기기가 의심스러운 랜딩 페이지에 접속한 적이 있다면, 해당 시점에서 복구 문구(마니트릭스)와 개인 키가 이미 유출됐다고 전제하고, 해당 페이지와 전혀 접촉하지 않은 ‘청정 기기’에서 새 지갑을 완전히 새로 생성한 후 모든 자산을 이전해야 한다. 동시에, 각 블록체인 네트워크 내 비정상 거래 기록과 토큰 권한 부여 상태를 전면 점검하고, 불필요한 모든 권한을 즉시 철회(Revoke)해야 한다.