CertiK Uyardı: DarkSword İstismar Kiti Altı iOS Zafiyetiyle Kripto Cüzdanlarını Hedefliyor

CertiK, İmza Gerektirmeyen Bir Saldırıya Dikkat Çekiyor

Güvenlik firması CertiK, 6 Kasım Cuma günü X platformundaki uyarısında önemli bir tehlike işaret etti: DarkSword adlı iPhone istismar kitinin güncellenmiş sürümü, yamasız iPhone'ları ele geçirebiliyor ve cihazda saklanan kripto cüzdanlarını ortaya çıkarabiliyor. Dikkat çekici olan, bu sürede ne bir cüzdan bağlantısına ne de işlem onayına ihtiyaç duyması. Firmanın yazdığına göre Safari'de kötü niyetli bir sayfayı açmak tek başına yeterli olabiliyor. Kitin hedeflediği uygulamalar arasında MetaMask, Trust Wallet, Phantom, Exodus ve Coinbase'i sayan uyarı, cihazın başka yerlerinde tutulan şifreleri ve kurtarma ifadelerini de kapsıyor. Apple'ın iOS işletim sistemi bundan habersiz değil: uyarının dayanağı, Google Tehdit İstihbarat Grubu'nun 18 Mart Çarşamba tarihli raporunda belgelediği ve iOS 18.4 ile 18.7 arasını etkileyen altı zafiyeti birleştiren bir istismar zinciri. Google, başarılı istismardan sonra devreye giren üç zararlı yazılım ailesini, GHOSTBLADE, GHOSTKNIFE ve GHOSTSABER'i tanımladı; bu yazılımlar cüzdan verilerini, cihazın anahtar zincirini, Notlar veritabanlarını, tarayıcı kayıtlarını ve kişisel medyayı toplayabiliyor. Ayrıca kampanyaların en az Kasım 2025'e kadar uzanan geçmişiyle Suudi Arabistan, Türkiye, Malezya ve Ukrayna'daki kullanıcılara karşı yürütüldüğü gözlemlendi. Apple, zafiyetlerin çoğunu daha önce kapamış olsa da hepsi iOS 26.3'ün çıkışıyla tamamen kapatılmış durumda.

@CertiKAlert · X gönderisi

X platformundaki uyarısında.

X'te görüntüle

Kit de olduğu yerde saymıyor. Mobil güvenlik firması iVerify, Ağustos ayında bir müşteri cihazında tespit ettiği enfeksiyonu inceledikten sonra 8 Ekim Perşembe günü P7 adlı DarkSword varyantını duyurdu. Bu varyant varsayılan olarak her 15 saniyede bir komuta sunucusuna sinyal gönderiyor, telefonun anahtar zinciri verilerini iletim öncesinde cihaz üzerinde işliyor ve kurulu cüzdan uygulamalarını tespit etmek üzere özel bir komut taşıyor; bu komutla imToken verilerini de çıkarabiliyor. iVerify ile Report URI'nin birlikte yürüttüğü ve 21 Ekim Çarşamba'da yayımlanan ayrı bir araştırma ise dağıtımın nasıl yapıldığını aydınlattı: kötü niyetli reklamlar üzerinden yayılan kit, bir çalışanın Instagram akışını kaydırırken bulaşan Dünya Kupası temalı bir reklamla da enfeksiyon yaratmış. DeadTag adlı kampanya ise yeniden kaydedilmiş yüzlerce analitik alan adına dayanıyor ve bu ağın aylık tahmini 135 milyon ziyaret çektiği hesaplanıyor. Sahte bir Polymarket sayfası iki DarkSword varyantı sunmuş; sayfa yüklendiğinde savunmasız cihazlara otomatik olarak bulaşmış. CertiK, önemli birikimler için donanım cüzdanı kullanımını, yüksek risk grubundaki kullanıcılar içinse Kilitli Modu öneriyor.

CZ Güncelleme Çağrısı Yaptı: Zarar 5,57 Milyon Dolara Ulaştı

Binance kurucu ortağı Changpeng Zhao da Cuma günü seslenecek kendi X hesabından iPhone kullanıcılarına işletim sistemlerini hemen güncellemeleri çağrısında bulundu. Eski bir sürümle çalışanlara mesajı nettidi: hiçbir cüzdan uygulaması altındaki sistemi yamalayamaz ve kendi cüzdanını kendi tutan kullanıcı, sorumluluğu da üstlenir. Zhao'nun paylaşımının arkasında çarpıcı bir rakam vardı. Officer's Notes takma adlı güvenlik araştırmacısının tahminlerine göre bu zafiyet üzerinden şimdiye kadar yaklaşık 5,57 milyon dolar değerinde dijital varlık çıkarılmış; zarar, kötü niyetli kodu barındıran 18'den fazla siteye yayılmış. Aynı araştırmacı, kitin çevrimiçi olarak yaklaşık 30.000 dolara satıldığını ve sürümlerinden birinin özellikle imToken cüzdanını hedefleyen bir modül taşıdığını bildirdi. Apple, kitin zincirlediği altı zafiyeti çoktan kapattı ve Officer's Notes'a göre DarkSword'ün desteklediği son sürüm iOS 18.6.2; tehlike böylece aylardır güncellenmemiş cihazlarda yoğunlaşıyor. Yine de kitin kodunda iOS 26 ve 27'ye dair referanslar bulunuyor; bu, geliştiricilerinin gelecek sistem sürümleri için istismarlar hazırladığına işaret. Olay da tekil değil: Eylül'de Apple, belirli kişilere yönelik gelişmiş saldırılarda kötüye kullanılmış olabileceğini kabul ettiği CoreGraphics grafik motoru zafiyetini yamadı; daha önce SlowMist ve OKX ise FomoPeek uygulamasındaki, iOS'ta normal izinlerinin ötesine ulaşabilen kötü niyetli kodu tespit etmişti. Araştırmacıların önerileri ortak bir kısa listeye çıkıyor: Ayarlar, Genel ve Yazılım Güncelleme menüsünden en güncel iOS sürümünü kurmak; kurtarma ifadesini asla Notlar, Fotoğraflar veya ekran görüntüsü olarak saklamamak; Telegram gruplarında ve doğrudan mesajlarda dolaşan bağlantılara şüpheyle yaklaşmak. Ele geçirilmiş olabilecek bir cihaz için tek temiz çözüm ise güncel bir makinede yeni cüzdan oluşturmak ve bakiyeyi taşımak, eski ifadeyi bir daha asla kullanmamak; bu süreci adım adım anlatan ele geçirilmiş cüzdanı kurtarma rehberimiz gerekçeleriyle birlikte inceliyor.

@cz_binance · X gönderisi

Kendi X hesabından.

X'te görüntüle

Güncellenmemiş iPhone'lar Asıl Saldırı Yüzeyi

Bu hikayenin yükünü CertiK uyarısının kendisi taşıyor: saldırı ne cüzdan bağlantısı ne de imza gerektirmiyor. Bu, kendi kendine cüzdan tutan kullanıcıların eğitiminde alışılan onay akışını tersine çeviriyor. Kurtarma rakamlarıyla birlikte okunduğunda riskli grup netleşiyor: Apple'ın iOS 26.3'e kadar yayımladığı yamalardan eski sürümleri çalıştıran telefonlar. İsim verilen beş uygulamanın çoğu, anahtarları cihazın okuyabildiği telefona kurulan hot wallet tipinde çalışıyor. Bu da uygulama seçiminden çok, tüm yaygın kripto cüzdanı türleri için geçerli kalmak üzere donanım izolasyonuna, soğuk depolamaya ve tohum ifadesi temizliğine dayanan bir savunmayı daha güçlü bir kontrol haline getiriyor. Kit içindeki iOS 26 ve 27 referansları ise bu istismar ailesinin gelişmeye devam etmeyi planladığını düşündürüyor.