中国語圏の暗号資産（仮想通貨）メディアBlockBeatsは24日、モバイル向けウェブページの一部に、第三者のドメインから読み込む異常なスクリプトが仕込まれていたと公表した。複数のセキュリティ企業から、iPhoneを狙う攻撃手法DarkSwordに関わる脆弱性の報告を受けて調べたという。すでに削除と修正を終えている。
BlockBeats、モバイル向けページに第三者の異常なスクリプト
BlockBeatsの公告によると、22日にモバイル向けの速報の記事ページの一つが攻撃者に複製され、第三者のドメインから読み込むスクリプトが仕込まれた。
利用者がこの速報を検索すると、元の速報と、スクリプトを仕込まれた悪意のある速報が並んで表示されたという。同社は確認後すぐに再現し、削除と修正を終えたとしている。
公告は、DarkSwordに関わる脆弱性が実際に悪用できる範囲は主にiOS 18.6〜18.7.2と26.0〜26.1だと説明した。そのうえで、iOSの利用者に最新のiOS 27へ更新するよう求めている。
同社はウォレットでのログインや接続の機能を提供したことはなく、そうした機能を求めるBlockBeatsのアプリは第三者の偽物だという。外部スクリプトの審査や、ページが読み込む外部の資源の監視も強める。
協力したセキュリティ企業として、ブロックチェーンセキュリティ企業SlowMist（スローミスト）やGCSAの名前を挙げ、謝意を示した。被害の有無は示していない。
スローミスト幹部、DarkSwordの偽サイト1,500件超を確認
スローミストの最高情報セキュリティ責任者（CISO）は24日、BlockBeatsがDarkSwordの攻撃チェーンを仕込まれたとXで指摘していた。端末のOSを更新していない場合、攻撃が成功するとiPhoneのウォレットが盗まれるおそれがあるという。
同氏は同じ日、同社の脅威監視システムMistEyeで、DarkSwordを使うフィッシングサイトがネット上に1,500件超見つかったと明らかにした。ECサイトや偽のバイナンス、偽のOKX、偽のウォレット、ゲーム、暗号資産の両替などを装っている。
スローミスト創業者のCos（余弦）氏も24日、iPhoneとiPadのOSを早めに更新するようXで呼びかけた。すでに入れているアプリに攻撃コードが混ぜられている可能性にも注意を促している。
同氏によると、この攻撃手法は主にiPhoneを使う暗号資産の利用者を狙い、特定の相手から暗号資産を盗む。キーチェーンのパスワードや、端末内の秘密鍵のファイル、メモのデータを持ち出すという。
スローミストの報告書、DarkSwordの攻撃サーバーで侵入成功10件
グーグルは3月に、iPhoneの攻撃手法DarkSwordを公表した。スローミストが19日に公開した報告書によると、その後コードがGitHubで公開され、7月にはそのまま運用できる一式も出回り、9月下旬にはある攻撃者がこれをネット上に設置したという。
報告書はこの攻撃者のサーバーを調べたもので、BlockBeatsの件には触れていない。管理画面には、30日間で2万187件のページ閲覧と1,187件の侵入の試みが記録されていた。侵入に成功したのは10件で、うち9件はデータの持ち出しまで進んでいる。
実際に攻撃が動く範囲は、iOS 18.6〜18.7.2と、iOS 26.0〜26.1だと報告書は分析する。コードの注記では、iOS 18.7.3以降は修正済みで、26.3以降には使える脆弱性がないとされる。
iOS 15.2〜16.5.1向けにもコードがそろった攻撃があり、開発中のコードもあった。狙うウォレットには、MetaMask（メタマスク）やTrust Wallet、imToken、TokenPocket、OKX、コインベースなどが含まれる。
報告書が挙げた誘導先は、AIの株価分析ツールや高級時計の買い取りを装ったサイトで、開くだけで攻撃が始まるものもある。
SNSでは、アダルトサイトを15秒見るだけで暗号資産が盗まれる恐れがあり、DarkSwordに似た手口だとする投稿が、執筆時点で100万回以上表示されている。報告書や今回のスローミスト幹部の投稿に、アダルトサイトへの言及はない。
スローミスト、iOSの更新と新しいウォレットへの移し替えを勧める
スローミストは報告書で、iOSを最新版に保ち、信頼できない出所のリンクを開かないよう勧めた。
SMSやDMで届く短縮リンクが最も危険で、Safariで開くだけで攻撃が始まる場合があるという。
不審なページを開いた端末があれば、そのページを開いていない別の端末で新しいウォレットを作り、資産を移すよう求めている。古いシードフレーズや秘密鍵は使い回さないよう呼びかけた。
