Как воруют крипту c iPhone и Trust Wallet через уязвимость в iOS 18

Если вы еще не обновили свой iPhone до актуальной версии iOS, редакция очень рекомендует это сделать. 15 октября у Марии Дорвей увели 16 тысяч долларов в крипте с нескольких разных кошельков, iPhone 15 на iOS 18. 

Статья дополнена 30.10.2026 года. Добавлено наблюдение за движением средств и другие случаи.

Наблюдаем за данной сетью сборщиков

За 18 дней наблюдения (10–28 октября) через девять общих накопителей сети прошло 5,57 миллиона USDT. По каналам вывода сети сборщиков из этого кейса в накопители пришло 4,40 миллиона USDT. Ещё 1,17 миллиона USDT пришло в накопители с адресов вне данной сети сборщиков. В итоге через накопители дальше ушло 5,57 млн $

• Накопители — девять общих транзитных кошельков, куда до 17 октября стекались USDT собранные сетью.
• Сборщики — кошельки первыми принимающие крипту у жертвы.

Как это произошло

Утро 15 октября, Мальдивы. Мария лежит на пляже, её iPhone 15 на iOS 18 рядом, на мобильном интернете, без всякого Wi-Fi. Около полудня она гуглит интересное видео и открывает его в Safari. Одно неудачное касание по рекламе, мелькает редирект на незнакомый домен. Ничего не скачано, ничего не установлено, ни одного запроса на разрешение.

В 12:29:48 с её Tron-кошелька уходят 16 428 USDT. Через двенадцать секунд следом уходит TRX, и на счёте остаются ровно 0,04. Скрипт воришка оставил такой же остаток у половины опустошённых кошельков. Одновременно пустеют кошельки в сети TON. Три приложения с тремя разными сид-фразами опустошены разом, а две из этих фраз Мария нигде не записывала.

«Подписание транзакций» включено, но подписывает уже не её телефон, а чужой компьютер с её ключами.

В 12:51 она выходит из воды и открывает историю кошелька. Видит кошелек-сборщик, там уже лежат деньги с шестнадцати других кошельков, всего $174 тысячи. В 13:50 по вся сумма превращается в USDD, которые Tether заморозить не может.

Потом телефон становится «кирпичом»: приложения исчезают, банк не открывается. Мария покупает билет домой и подводит итог: «порнушка с **** мне ещё никогда в 1 лям не обходилась». А сборщик вечером забирает у очередного незнакомца ещё 10 долларов.

Что это было?

При посещении сайта с видео с ****** через Safari на iOS 18 она скорее всего получила в подарок эксплойт в духе DarkSword: он работает на iOS 18.4–18.7 и заражает iPhone при одном открытии страницы в Safari, без скачиваний, дополнительных кликов и подтверждений. В нашем случае это мог быть рекламный редирект с сайта, на котором она смотрела видео с ******. Такой эксплойт за минуты получает данные кошельков и сид-фразы, а злоумышленник подписывает переводы уже на своём устройстве. Поэтому «Подписание транзакций» и не помогло: оно защищает только действия внутри приложения на её телефоне.

Схема движения криптовалюты

Еще случаи

С Марией это не единственный случай, вот еще несколько эпизодов работы этого же эксплойт.

Случай №1

Пост в канале @mazaseo, автору написали трое владельцев iPhone, у которых в тот же день списали все средства, причём с разных кошельков.

Случай №2

12 октября средства списали с кошелька на iPhone, где iOS отставала на 9 обновлений. Сид-фраза хранилась только на бумаге, исходящая транзакция была одна. Пост в канале «По Уши в Гембле».

Случай №3

Блогер ГринБратуха сообщил, что у него так же увели почти 40 тысяч USDT.

Случай №4

Сегодня (19.10.2026) к нам обратилась девушка с такой же проблемой.