针对iPhone的高级攻击工具DarkSword：零点击漏洞窃取400万美元USDT

据数据分析公司Bitquery披露，一种名为“DarkSword”的高级漏洞利用套件已导致黑客从365个TRON钱包中窃取了超过400万美元的加密货币。此类移动设备攻击无需用户交互，其“零点击”链条完全通过iOS设备上未修补的Safari浏览器漏洞进行运作。

DarkSword：利用iOS Safari漏洞

研究人员指出，DarkSword将六个影响iOS 18.4至18.7版本的安全缺陷串联起来。攻击者通过诱导用户使用Safari浏览器访问恶意网站，能够穿透苹果的安全屏障，提取存储在设备钥匙串（Keychain）中的私钥、助记词、密码和消息内容。

与传统网络攻击不同，DarkSword不需要下载恶意应用程序或手动批准钱包交易。相反，该套件自动化了整个流程，在没有任何通知、确认或设备所有者操作的情况下，直接访问敏感的钱包凭据。

2026年3月18日，Google威胁情报小组联合安全公司Lookout和iVerify发布了该漏洞利用的详细技术报告。他们的研究表明，DarkSword可以通过搜索设备照片和笔记应用程序来检索账户恢复信息，这使得那些将凭据存储在设备上的钱包特别容易受到攻击。

另一家网络安全研究公司Censys报告称，DarkSword至少针对18款加密钱包应用，包括MetaMask、Phantom、Trust Wallet和Coinbase。然而，他们强调核心漏洞在于iOS操作系统本身，而非各个独立的应用程序。

名词解释：Censys是一家专注于互联网范围扫描和分析网络漏洞及威胁的网络安全公司。其研究支持组织识别网络和区块链环境中的关键弱点。

黑客如何清空400万美元USDT

Bitquery的法证调查将盗窃行为与一个由43个收款地址组成的网络联系起来，这些地址通过单个费用钱包进行协调。资金在10月5日至11月4日期间从365个受感染的TRON钱包中被系统性地转移。

其中八个钱包各自损失超过10万美元，占总 drained USDT的近三分之二。攻击者首先向受害者发送少量TRX，这可能是攻击过程的一部分，随后清空了钱包。

Bitquery成功将整个活动追溯至一笔初始转账，其细节与之前报道的一起iPhone盗窃案相符。然而，仅凭区块链记录无法揭示受害者的身份及其具体的钱包应用程序。

Bitquery得出结论：“对于已泄露的助记词，仅更改钱包密码或撤销代币授权是不够的——用户必须生成新的恢复短语，并将资产转移到新钱包中。”

安全措施与建议

苹果公司随后发布了旨在修补DarkSword漏洞利用中所用漏洞的安全更新。Google安全团队建议用户立即更新iOS设备；如果无法更新，则启用锁定模式（Lockdown Mode）。

专家还建议将钱包助记词离线存储，而不是保存在设备照片、笔记或云存储中。为了获得更强的保护，建议将大量加密货币持仓存放在硬件钱包中。

任何收到来自未知来源的意外TRX存款的人都应将其视为警告信号。与需要用户批准的钓鱼攻击不同，一旦助记词泄露，攻击者可以从另一台设备使用它瞬间清空整个钱包，因此保护恢复短语至关重要。

对于助记词暴露的用户，安全团队强调需要生成新钱包，而不是依赖密码更改或交易审批控制来缓解持续的风险。