Вредонос через Safari на iPhone вывел 16 428 USDT у владелицы

Владелица iPhone 15 на iOS 18 стала жертвой кражи: 16 428 USDT ушли с её кошелька за несколько минут после того, как она случайно коснулась рекламного блока в Safari. Система не запрашивала разрешений и ничего не скачивала. О случае стало известно из Telegram-канала Марии Дорвей.

Как проходила атака

Девушка искала видео через мобильный интернет и попала на редирект. В 12:29 с её кошелька в сети Tron ушли 16 428 USDT. Через двенадцать секунд скрипт вывел TRX, и на балансе остался 0,04 монеты. Одновременно были опустошены счета в сети TON: вредонос обнулил три приложения с тремя отдельными сид-фразами, хотя две из них владелица нигде не записывала.

Встроенное подтверждение транзакций на самом телефоне не помогло. Переводы подписывал удалённый компьютер злоумышленников с помощью украденных ключей. После атаки iPhone перестал нормально работать: с экрана пропали иконки приложений, а банковские клиенты перестали открываться.

Куда ушли средства

Деньги попали на кошелёк-сборщик, где к моменту проверки уже лежало $174 000 ≈ 519 тыс. BYN с шестнадцати других адресов. Менее чем через час злоумышленники обменяли всю сумму на алгоритмический стейблкоин USDD. Tether в такой схеме не может заблокировать активы, поэтому вернуть их через эмитента USDT нельзя.

Масштаб по сети

Аналитики портала cpa.rip проследили движение монет в этой сети с 10 по 28 октября. За 18 дней через девять общих транзитных кошельков-накопителей прошло 5,57 млн USDT: 4,40 млн USDT поступили напрямую от связанных сборщиков, ещё 1,17 млн USDT пришли со сторонних адресов. Это объём движения средств, а не подтверждённый ущерб. В издании appleinsider.ru общие потери от кампании оценивают в диапазоне от $2 млн ≈ 5,96 млн BYN до $5,5 млн ≈ 16,4 млн BYN.

Что собирает вредонос

Скрипт нацелен не на одно приложение. По описанию, с зараженного телефона на серверы злоумышленников уходят файлы Trust Wallet, MetaMask, Phantom и TronLink вместе с секретными ключами, сид-фразы и приватные ключи, которые вредонос распознаёт в текстовых заметках и фотографиях, а также сохранённые пароли, личная переписка и медиафайлы.

Под удар попадают две группы уязвимостей: DarkSword нацелен на версии от iOS 18.4 до 18.7, Coruna атакует сборки от iOS 13 до iOS 17.2.1. DarkSword попал в открытый доступ, а к осени вокруг него сложился платный рынок: готовый набор инструментов продаётся за $12 888 ≈ 38,4 тыс. BYN, владельцам сайтов и рекламных сетей предлагают панели управления с комиссиями и лимитами на число заражённых устройств.

Что советуют сделать

В источнике рекомендовано проверить настройки iPhone и обновить iOS до актуальной версии, не откладывая установку патчей безопасности. Отказ от сомнительных сайтов, по его словам, не гарантирует защиту, потому что зараженные баннеры проникают в легальные рекламные сети.