Как воруют крипту c iPhone и Trust Wallet через уязвимость в iOS 18

Если вы еще не обновили свой iPhone до актуальной версии iOS, редакция очень рекомендует это сделать. 15 октября у Марии Дорвей увели 16 тысяч долларов в крипте с нескольких разных кошельков, iPhone 15 на iOS 18. 

Как это произошло

Утро 15 октября, Мальдивы. Мария лежит на пляже, её iPhone 15 на iOS 18 рядом, на мобильном интернете, без всякого Wi-Fi. Около полудня она гуглит интересное видео с Паниным и открывает его в Safari. Одно неудачное касание по рекламе, мелькает редирект на незнакомый домен. Ничего не скачано, ничего не установлено, ни одного запроса на разрешение.

В 12:29:48 с её Tron-кошелька уходят 16 428 USDT. Через двенадцать секунд следом уходит TRX, и на счёте остаются ровно 0,04. Скрипт воришка оставил такой же остаток у половины опустошённых кошельков. Одновременно пустеют кошельки в сети TON. Три приложения с тремя разными сид-фразами опустошены разом, а две из этих фраз Мария нигде не записывала.

«Подписание транзакций» включено, но подписывает уже не её телефон, а чужой компьютер с её ключами.

В 12:51 она выходит из воды и открывает историю кошелька. Видит кошелек-сборщик, там уже лежат деньги с шестнадцати других кошельков, всего $174 тысячи. В 13:50 по вся сумма превращается в USDD, которые Tether заморозить не может.

Потом телефон становится «кирпичом»: приложения исчезают, банк не открывается. Мария покупает билет домой и подводит итог: «порнушка с Паниным мне ещё никогда в 1 лям не обходилась». А сборщик вечером забирает у очередного незнакомца ещё 10 долларов.

Что это было?

При посещении сайта с видео с Паниным через Safari на iOS 18 она скорее всего получила в подарок эксплойт в духе DarkSword: он работает на iOS 18.4–18.7 и заражает iPhone при одном открытии страницы в Safari, без скачиваний, дополнительных кликов и подтверждений. В нашем случае это мог быть рекламный редирект с сайта, на котором она смотрела видео с Паниным. Такой эксплойт за минуты получает данные кошельков и сид-фразы, а злоумышленник подписывает переводы уже на своём устройстве. Поэтому «Подписание транзакций» и не помогло: оно защищает только действия внутри приложения на её телефоне.

Схема движения криптовалюты

Еще случаи

С Марией это не единственный случай, вот еще несколько эпизодов работы этого же эксплойт.

Случай №1

Пост в канале @mazaseo, автору написали трое владельцев iPhone, у которых в тот же день списали все средства, причём с разных кошельков.

Случай №2

12 октября средства списали с кошелька на iPhone, где iOS отставала на 9 обновлений. Сид-фраза хранилась только на бумаге, исходящая транзакция была одна. Пост в канале «По Уши в Гембле».