iPhoneの脆弱性を突く攻撃キット「DarkSword」が、仮想通貨ウォレットからの窃盗に悪用されている疑いがある。ブロックチェーン分析企業のビットクエリ（Bitquery）は5日、関連が疑われる窃盗ネットワークで、少なくとも406万ドル（約6.4億円）相当のUSDTがトロン（TRON）上の365のウォレットから移動していたとする分析を公表した。
DarkSwordはiOS 18.4から18.7を搭載したiPhoneを主な標的とする。細工されたWebサイトをSafariで開くだけで攻撃が成立しうるため、研究者はiOSを最新版に更新するよう呼びかけている。
グーグルの脅威インテリジェンスグループ（GTIG）とセキュリティ企業のルックアウト（Lookout）、アイベリファイ（iVerify）は3月18日、DarkSwordに関する分析を同時に公表した。6件の脆弱性を組み合わせて端末を乗っ取り、キーチェーンに保存されたパスワードやメッセージ、仮想通貨ウォレットアプリのデータを抜き取るもので、ダウンロードや操作の承認は必要ない。
セキュリティ企業センシス（Censys）が10月に公表した報告によると、キットには18のウォレットアプリを個別に狙うモジュールがあり、写真やメモアプリからシード（リカバリーフレーズ）を探す機能も備える。標的にはメタマスク（MetaMask）やファントム（Phantom）、トラストウォレット（Trust Wallet）、コインベース（Coinbase）のアプリなどが含まれる。
いずれもアプリ自体の不具合ではなく、端末側の脆弱性を突かれるもので、センシスは、主な目的はウォレットの窃盗だと分析している。
攻撃者は盗んだ秘密鍵やシードを使い、自分の端末で署名して送金する。被害者側ではウォレットの接続や取引の承認が一切発生しない点が、不正な承認を求める従来のフィッシングとの大きな違いだ。
承認の取り消しやアプリの再インストールでは防げず、シードが盗まれた場合に資金を守る手段は、新しいシードで作ったウォレットへの資産移動に限られる。
ビットクエリは、被害を公表したiPhone利用者の1件と金額・時刻が一致する取引を起点に、資金の流れを追った。
10月5日から11月4日（UTC）に、同じ手数料用ウォレットと資金のつながりがある43の収集用アドレスが、365のウォレットから資金を移していた（うちTRXのみの被害が89件）。USDTを失った276アドレスの被害額の中央値は1,029ドルで、10万ドル以上を失った8アドレスがUSDT被害総額の63％を占める。
ただし、ビットクエリはオンチェーンの記録から各被害者の端末やウォレットアプリはわからないとして、すべての損失がiPhoneの脆弱性やDarkSwordによるものとは確認できないとしている。日本国内の利用者に被害が出ているかどうかも、現時点で確認されていない。
トロンでUSDTを送るには、手数料としてTRXが必要になる。ビットクエリによると、被害者のアドレスにはまず少額のTRXが送り込まれ、数秒後に残高全額が移されていた。見知らぬアドレスからの少額のTRX着金は、警戒の合図になりうる。
少額の着金には、似たアドレスを履歴に紛れ込ませて誤送金を誘うアドレスポイズニングという別の手口もあり、いずれの場合も送金先アドレスを取引履歴からコピーしないことが基本となる。
DarkSwordが使う6件の脆弱性は、iOS 26.3ですべて修正され、iOS 18系では18.7.7で対処された。アップルは10月26日にiOS 27.2を公開し、160件超の脆弱性を修正している。
同日にはiOS 27に移行していない端末向けのiOS 26.7.2と、iPhone XSやXRなど古い端末向けのiOS 18.7.11も提供した。更新は「設定」アプリの「一般」にある「ソフトウェアアップデート」から行える。ブラウザ上に表示される更新の案内は、詐欺の可能性がある。
セルフカストディのウォレット利用者にとっては、シードの保管方法が被害を左右する。写真やスクリーンショット、メモアプリ、クラウドに保存せず、紙や金属板などオフラインで保管する方法が有効とされる。
過去に撮影したシードは、iCloudの写真や「最近削除した項目」、iCloudバックアップに残っている可能性もある。多額の資産をハードウェアウォレットで管理し、スマートフォンには日常的に使う額だけを置く方法もある。
シードを端末に保存していた場合や、脆弱なiOSで不審なサイトを開いた可能性がある場合は、更新済みの信頼できる端末で新しいシードのウォレットを作り、資産を移すことが勧められる。ビットクエリも、見知らぬアドレスから少額のTRXが届いた場合はすぐに資産を移すよう呼びかけている。
取引所アプリの利用者も無関係ではない。キーチェーンのパスワードが盗まれうるため、脆弱なiOSを使っていた場合は取引所のパスワード変更が選択肢になる。
二段階認証にはSMSより認証アプリやパスキーが望ましく、出金先アドレスの登録制限を設定できる取引所もある。多額の仮想通貨を持つ人や業界関係者は、ロックダウンモードの有効化も検討対象となる。GTIGは、更新できない端末の対策としてロックダウンモードの有効化を推奨している。
