DarkSword: invasão do iPhone por um site e a sua carteira cripto

O que é o DarkSword

É um kit pronto para invadir iPhone, divulgado em março de 2026 pelo Google Threat Intelligence Group, pela Lookout e pela iVerify. Ele era colocado em sites reais invadidos e em páginas falsas: a pessoa abria um link no Safari e, numa versão vulnerável do iOS, o telefone era comprometido sem um único toque em «permitir».

Os alvos eram iPhones com iOS 18.4–18.7 sem as últimas correções. A Apple já fechou essas vulnerabilidades. Pela estimativa da iVerify, na época da publicação cerca de 14% dos iPhones no mundo estavam numa versão vulnerável.

Quem está em risco

Os ataques confirmados miraram pessoas na Ucrânia, Arábia Saudita, Turquia e Malásia. O kit foi usado tanto por grupos ligados a Estados quanto por vendedores comerciais de spyware.

Mas o DarkSword procura carteiras cripto de propósito, e os pesquisadores apontam abertamente um motivo financeiro entre seus operadores. Esses kits são revendidos e reutilizados, então quem guarda USDT ou bitcoin num iPhone antigo é um alvo adequado, more onde morar.

O que ele leva do telefone

• Senhas do Porta-chaves do iPhone, inclusive de sites, corretoras e Wi-Fi.
• Mensagens: SMS, iMessage, WhatsApp, Telegram, além de contatos e histórico de chamadas.
• Histórico e cookies do Safari, ou seja, sessões abertas de corretoras e e-mail.
• Notas, calendário, dados de fotos, localização e informações de contas.
• Dados de apps cripto. A lista de busca inclui Coinbase, Binance, Kraken, Bybit, OKX, Trust Wallet, MetaMask, Exodus, Ledger, Trezor, SafePal, TokenPocket e outros, além de qualquer app com as palavras «wallet», «crypto» ou «bitcoin». Carteiras TRON também entram nessa regra.

Se a sua frase-semente estava nas notas, numa captura de tela ou entre as senhas salvas, considere que ela pode ter sido levada.

Sinais: por que quase não existem

O DarkSword não se instala no telefone por muito tempo: pega os dados em segundos ou minutos, apaga os arquivos temporários e sai. A bateria não acaba, nenhum ícone aparece e depois de reiniciar não fica rastro.

Uma pista fraca é o Safari fechar a página ou travar várias vezes seguidas ao abrir um mesmo site. Isso também acontece sem invasão, então não se guie por sinais, e sim por duas perguntas: qual versão do iOS você tinha antes de março de 2026 e onde estava a frase-semente.

O que fazer agora

1. Atualize o iOS. Ajustes → Geral → Atualização de Software. Instale a versão mais recente disponível e ative as atualizações automáticas. A iVerify recomenda no mínimo iOS 18.7.6 ou 26.3.1.
2. Seu telefone não recebe mais atualizações? Não mantenha nele uma carteira com saldo nem entre numa corretora por ele.
3. Ative o Modo de Isolamento se você tem valores altos ou trabalha com cripto: Ajustes → Privacidade e Segurança → Modo de Isolamento. Segundo os pesquisadores, ele barra o DarkSword. Nesse modo algumas funções de sites e mensagens ficam limitadas.
4. Tire a frase-semente do telefone: das notas, fotos, nuvem e gerenciador de senhas. Guarde-a em papel ou metal, e valores altos numa carteira de hardware, veja como guardar a frase-semente.
5. Proteja as contas de corretora: verificação em duas etapas por app ou chave, não por SMS, e lista de endereços de saque permitidos.
6. Não abra links de desconhecidos nem instale apps fora da App Store.

Se a frase-semente ou as senhas estavam num iPhone vulnerável

1. Num aparelho atualizado, crie uma carteira nova com uma frase-semente nova e transfira tudo para ela. Pare de usar o endereço antigo.
2. Troque as senhas das corretoras, do e-mail e do ID Apple e encerre todas as sessões ativas.
3. Verifique o endereço antigo no GuardPay /check: o histórico de transferências mostra se saiu dinheiro sem você.
4. Se o dinheiro já foi, inicie um rastreamento no GuardPay /stolen e leia o que fazer se a carteira foi invadida. Cuidado com os «recuperadores» que escrevem primeiro, veja golpes de recuperação.