Wer sein iPhone nicht aktuell hält, kann seine Krypto-Wallet schon mit einem einzigen Seitenaufruf verlieren. Die Blockchain-Sicherheitsfirma Slowmist hat sich ein Angriffssystem namens Darksword angesehen, das über manipulierte Webseiten in Safari Schlüssel, Passwörter und Seed-Phrasen abgreift. Das Erstaunliche daran: Der Großteil des Codes stammt aus öffentlich zugänglichen Quellen.
iOS-Lücke: Webseite reicht, um Krypto-Wallets zu leeren
GESCHRIEBEN VON
TEILEN
Das Wichtigste auf einen Blick
- Die Sicherheitsfirma Slowmist hat ein iPhone-Angriffssystem untersucht, das Daten stiehlt, sobald man in Safari eine präparierte Webseite öffnet – vor allem aus Krypto-Wallets.
- Der Code enthält laut Slowmist zwei funktionierende Angriffsfenster: iOS 18.6 bis 18.7.2 und iOS 26.0 bis 26.1. Im untersuchten Monat klappte der Angriff 10-mal.
- Slowmist rät dringend zum iOS-Update. Wer eine verdächtige Seite besucht hat, sollte auf einem sauberen Gerät eine neue Wallet anlegen und das Guthaben umziehen.
Ein Seitenaufruf genügt
Neu ist die Angriffskette nicht. Die Google Threat Intelligence Group hatte sie bereits im März unter dem Namen Darksword beschrieben. Sie kombiniert sechs Sicherheitslücken, von denen damals drei noch offen waren. Der Nutzer muss nichts anklicken – es reicht, dass die Seite in Safari lädt.
Die Version, die Slowmist jetzt untersucht hat, geht noch einen Schritt weiter. Die komplette Kette läuft demnach nachweislich auf iOS 18.6 bis 18.7.2 und auf iOS 26.0 bis 26.1. Auch für einige ältere Versionen zwischen iOS 15.2 und 16.5.1 ist der Angriffscode vollständig. Bei iOS 13 und 14, ab iOS 16.6 sowie bei iOS 17 fehlt dagegen der letzte Baustein. Und für iOS 26.3 und neuer haben die Angreifer in ihrem eigenen Code vermerkt, dass ihnen keine funktionierende Lücke mehr bleibt.
Als Köder dienen gefälschte Webseiten – mal ein angeblicher KI-Aktienanalysator, mal ein Ankaufdienst für Luxusuhren. Im Verwaltungsbereich der Angreifer liegen außerdem fertige Vorlagen für Krypto-Gewinnspiele, vermeintliche iOS-Updates und nachgebaute Apple-ID-Anmeldeseiten.
Zehn erfolgreiche Angriffe in einem Monat
Slowmist konnte einen Blick in das Verwaltungspanel der Angreifer werfen. In den untersuchten 30 Tagen zählte es 20.187 Seitenaufrufe und 1.187 Angriffsversuche. Zehn davon waren erfolgreich, in neun Fällen flossen tatsächlich Daten ab. Registriert waren insgesamt 57 Geräte, unter anderem aus Australien, Malaysia, Lettland, Südkorea, der Ukraine, China und Hongkong.
Ins Visier geraten vor allem Wallets wie Metamask, Trust Wallet, Imtoken, Tokenpocket, Tronlink, Exodus sowie die Wallets von Coinbase und OKX. Das System sammelt aber auch Passwörter aus dem Schlüsselbund, WLAN-Zugänge, Nachrichten, Kontakte und Fotos ein. Erbeutete Seed-Phrasen werden im Panel entschlüsselt, die Guthaben angezeigt und auf Knopfdruck gebündelt. Laut Slowmist arbeiten die Angreifer bereits daran, auch Whatsapp- und Telegram-Konten zu übernehmen.
Bausatz aus öffentlichem Code
Besonders brisant ist die Herkunft des Ganzen. Seit Juli liegt auf Github ein komplettes, einsatzbereites Paket – mit Angriffskette, Server, Verwaltungsoberfläche und Anleitung. Wer die vollständige Bezahlversion will, wird laut Slowmist an einen Telegram-Kontakt verwiesen; der technische Support kostet 5.000 Tether (USDT). Die Krypto-Wallet-Funktionen waren im ursprünglichen Code der Angriffskette noch nicht enthalten – die haben die Angreifer selbst nachgerüstet.
Damit, so warnt Slowmist, lässt sich die gesamte Kette betreiben, ohne die Sicherheitslücken auch nur ansatzweise zu verstehen. Auf Apple-Updates zu warten, reicht deshalb nicht aus.
Was iPhone-Nutzer jetzt tun sollten
Slowmist empfiehlt, iOS immer auf dem neuesten Stand zu halten und keine Links aus unbekannten Quellen zu öffnen – schon gar nicht aus SMS oder privaten Nachrichten. Wer eine verdächtige Seite besucht hat, sollte seine Wallet als kompromittiert betrachten: Auf einem Gerät, das die Seite nie geladen hat, eine neue Wallet mit frischer Seed-Phrase anlegen und das Guthaben dorthin übertragen. Die alte Seed-Phrase und die privaten Schlüssel gehören danach nicht mehr in Gebrauch. Dass Angreifer gezielt iPhone-Nutzer mit Krypto-Guthaben ins Visier nehmen, hatte zuletzt auch eine gefälschte Wallet-App gezeigt, die es bis in den App Store geschafft hatte.
