DarkSword: взлом iPhone через сайт и ваш криптокошелёк

Что такое DarkSword

Это готовый набор для взлома iPhone, о котором в марте 2026 года сообщили Google Threat Intelligence Group, Lookout и iVerify. Его встраивали в настоящие взломанные сайты и в поддельные страницы: человек открывал ссылку в Safari, и на уязвимой версии iOS телефон взламывался без единого нажатия «разрешить».

Под удар попадали iPhone с iOS 18.4–18.7 без последних исправлений. Apple уже закрыла эти уязвимости. По оценке iVerify, на момент публикации уязвимую версию держали около 14 % iPhone в мире.

Кому грозит

Подтверждённые атаки шли против людей в Украине, Саудовской Аравии, Турции и Малайзии. Набором пользовались и группы, связанные с государствами, и коммерческие продавцы шпионских программ.

Но DarkSword целенаправленно ищет криптокошельки, и исследователи прямо называют у его владельцев денежный мотив. Такие наборы перепродают и переиспользуют, поэтому держатель USDT или биткоина на старом iPhone — подходящая цель, где бы он ни жил.

Что он забирает с телефона

• Пароли из связки ключей iPhone, включая пароли от сайтов, бирж и Wi-Fi.
• Переписку: SMS, iMessage, WhatsApp, Telegram, а также контакты и историю звонков.
• Историю и cookies Safari — то есть открытые сессии бирж и почты.
• Заметки, календарь, данные фотографий, геолокацию и сведения об аккаунтах.
• Данные криптоприложений. В списке поиска — Coinbase, Binance, Kraken, Bybit, OKX, Trust Wallet, MetaMask, Exodus, Ledger, Trezor, SafePal, TokenPocket и другие, а также любые приложения со словами «wallet», «crypto», «bitcoin». Кошельки TRON под это правило тоже попадают.

Если seed-фраза лежала в заметках, на скриншоте или в сохранённых паролях, считайте, что её могли унести.

Признаки: почему их почти нет

DarkSword не устанавливается в телефон надолго: он забирает данные за секунды или минуты, стирает временные файлы и выходит. Батарея не садится, значков не появляется, после перезагрузки следов нет.

Слабый намёк — Safari несколько раз подряд закрывает страницу или «вылетает» при открытии одного сайта. Это бывает и без взлома, поэтому ориентируйтесь не на признаки, а на два вопроса: какая версия iOS была у вас до марта 2026 года и где лежала seed-фраза.

Что сделать сейчас

1. Обновите iOS. Настройки → Основные → Обновление ПО. Ставьте последнюю доступную версию и включите автоматические обновления. По рекомендации iVerify — не ниже iOS 18.7.6 или 26.3.1.
2. Телефон больше не обновляется? Не держите на нём кошелёк с деньгами и не входите с него в биржу.
3. Включите режим блокировки, если храните крупные суммы или работаете с криптовалютой: Настройки → Конфиденциальность и безопасность → Режим блокировки. По данным исследователей, он останавливает DarkSword. Часть функций сайтов и сообщений при этом ограничивается.
4. Уберите seed-фразу из телефона: из заметок, фото, облака и менеджера паролей. Храните её на бумаге или металле, а крупные суммы — на аппаратном кошельке, см. как хранить seed-фразу.
5. Защитите биржевые аккаунты: двухфакторная защита через приложение или ключ, а не SMS, и белый список адресов вывода.
6. Не открывайте ссылки от незнакомых и не ставьте приложения в обход App Store.

Если seed-фраза или пароли были на уязвимом iPhone

1. На обновлённом устройстве создайте новый кошелёк с новой seed-фразой и переведите туда всё. Старый адрес больше не используйте.
2. Смените пароли от бирж, почты и Apple ID и завершите все активные сессии.
3. Проверьте старый адрес в GuardPay /check: история переводов покажет, не уходили ли деньги без вас.
4. Если деньги уже ушли, запустите розыск в GuardPay /stolen и прочтите, что делать, если кошелёк взломан. Остерегайтесь «возвращателей», которые пишут первыми, см. мошенники-возвращатели.