慢霧發佈DarkSword木馬分析報告：公開代碼被武器化，iOS加密錢包面臨威脅

10月19日，安全機構SlowMist（慢霧）發佈了一份深度威脅情報報告，聚焦DarkSword木馬後端及其在iOS平台上的完整攻擊鏈。該報告系統還原了攻擊基礎設施的演進軌跡，並明確指出其對加密資產用戶構成的嚴重現實威脅。

據慢霧分析，自2026年3月相關漏洞利用代碼公開以來，DarkSword-PROV2於同年7月首次出現在GitHub平台；至9月下旬，其配套攻擊基礎設施已被觀測到正式上線並投入實戰使用。慢霧團隊不僅持續監控其活躍的在線基礎設施，還成功將管理面板與GitHub上公開的代碼倉庫建立關聯，並對漏洞利用模塊、惡意投遞路徑及設備攻陷後的橫向操作能力進行了逆向拆解與功能驗證。

報告披露的核心發現包括：
· 一套高度自動化的端到端攻擊流水線——涵蓋漏洞觸發投遞、設備指紋與敏感數據採集、多維度數據竊取，以及加密錢包資金的定向歸集；
· 超越常規的數據攫取範圍：除鑰匙串（Keychain）、本地文件與短信信息外，工具包專門強化了對加密錢包數據的提取能力，可執行錢包解密操作並完成資金轉移；
· 儘管官方宣稱兼容iOS 13及以上版本，但代碼級分析證實，其實際有效利用僅限於兩個特定區間：iOS 18.6–18.7.2 與 iOS 26.0–26.1；
· 原本公開的漏洞組件已被深度武器化，無縫嵌入可即刻部署的攻擊框架中，顯著降低了發動高隱蔽性iOS攻擊的技術門檻。

針對上述風險，慢霧提出具體防護建議：用戶須及時更新iOS系統，並杜絕點擊來源不明或不可信鏈接——因僅需在Safari中打開惡意頁面即可觸發漏洞。若設備曾訪問過可疑落地頁，應立即假定助記詞與私鑰已遭洩露，必須使用完全未接觸過該頁面的潔淨設備重建錢包並遷移全部資產。同時，需全面審計各區塊鏈網絡中的異常交易記錄與代幣授權狀態，並立即撤銷（Revoke）所有非必要授權。