Por Canuto  

CertiK advierte que una variante de DarkSword puede buscar datos de wallets y credenciales en iPhones vulnerables sin que el usuario conecte una aplicación cripto ni firme una transacción. La recomendación central es actualizar iOS y, ante una posible infección, trasladar los fondos a una wallet nueva desde un dispositivo limpio.
***

  • Según CertiK, una página maliciosa abierta en Safari podría iniciar el ataque contra un iPhone sin parchear.
  • La variante P7 puede identificar aplicaciones de wallet y recopilar información, mientras consulta su servidor de control cada 15 segundos por defecto.
  • Investigadores documentaron campañas con anuncios maliciosos, dominios reactivados y enlaces; recomiendan actualizar iOS y cambiar cualquier frase de recuperación expuesta.

DarkSword apunta a wallets cripto en iPhones vulnerables: una página maliciosa podría bastar

Una página maliciosa abierta en Safari podría bastar para que un iPhone vulnerable quede expuesto a DarkSword, una cadena de exploits que busca información sensible, incluidos datos relacionados con wallets de criptomonedas. CertiK advirtió que el ataque no requiere conectar una wallet ni aprobar una transacción, por lo que la defensa no depende únicamente de desconfiar de solicitudes de firma dentro de una aplicación.

La alerta pone el foco en las actualizaciones del sistema y en los datos que los usuarios guardan en el teléfono, desde credenciales hasta frases de recuperación. Las investigaciones citadas describen distintas etapas y variantes del ataque: una cadena de seis vulnerabilidades documentada por Google, un implante llamado P7 y campañas de distribución a través de anuncios y dominios web reutilizados.

Una cadena de vulnerabilidades que evita la interacción con una wallet

La investigación divulgada por Google el 18 de marzo documentó una cadena de seis vulnerabilidades compatible con iOS 18.4 a 18.7. Al combinarlas, los atacantes podían comprometer dispositivos vulnerables e instalar software para recopilar información sensible. El escenario descrito no exige que la persona abra una wallet, conecte una cuenta ni firme una operación en la blockchain.

Tras una explotación exitosa, Google identificó tres familias de malware: GHOSTBLADE, GHOSTKNIFE y GHOSTSABER. Sus capacidades no eran idénticas: algunas permitían ejecutar comandos remotos y otras reunían información sin mantener una operación continua. La distinción importa porque DarkSword no describe un único programa con un comportamiento invariable.

Entre los datos que GHOSTBLADE podía recopilar figuraban información de wallets cripto, elementos del llavero del dispositivo, registros de mensajería y datos del navegador. También podía acceder a bases de datos de Notas y medios personales, una amplitud que expone riesgos tanto para las credenciales guardadas en el teléfono como para información privada no vinculada directamente con criptomonedas.

Google observó campañas dirigidas a personas en Arabia Saudita, Turquía, Malasia y Ucrania, y señaló la participación de proveedores comerciales de vigilancia y actores presuntamente patrocinados por Estados. La actividad se remontaba al menos a noviembre de 2025. La compañía dijo que informó a Apple de las vulnerabilidades a finales de ese año y que todas quedaron parcheadas con iOS 26.3, aunque la mayoría ya se había corregido antes.

P7 amplía la recopilación y permite recibir órdenes remotas

La firma de seguridad móvil iVerify divulgó P7 en un informe del 8 de octubre, después de investigar una infección detectada en el dispositivo de un cliente en agosto. La variante incorporaba cambios para reducir su huella, mejorar la estabilidad y permitir comunicación bidireccional con infraestructura controlada por los atacantes; es decir, no se limitaba a recopilar datos de forma aislada.

Entre los cambios técnicos, P7 redujo parte del registro de actividad y las inyecciones de procesos, además de utilizar el almacenamiento del navegador para evitar repetir la explotación. Estas modificaciones describen decisiones de diseño observadas por los investigadores; por sí solas no indican cuántos dispositivos fueron infectados ni permiten afirmar que todos los teléfonos expuestos recibieran el mismo implante.

La lista de comandos de P7 incluía funciones para identificar aplicaciones de wallet instaladas y extraer datos relacionados con wallets de imToken. Otros comandos podían recopilar bases de datos de Apple Notes, fotos, archivos de aplicaciones e información del dispositivo, por lo que el alcance potencial iba más allá de una aplicación específica o de una única clase de activo digital.

Por defecto, el implante consultaba su servidor de control cada 15 segundos para buscar instrucciones, aunque los operadores podían cambiar ese intervalo. Esa cifra corresponde a la frecuencia de consulta de comandos, no a un calendario fijo para robar fondos ni para extraer el contenido de las wallets; afirmar lo contrario iría más allá de lo que describen los investigadores.

iVerify también indicó que P7 procesaba en el propio teléfono la información del llavero antes de transmitirla, a diferencia de versiones anteriores que enviaban una base de datos completa para su procesamiento. Ese detalle ayuda a entender por qué el contenido almacenado en el dispositivo importa incluso cuando el usuario no está usando una wallet: las credenciales y otros datos pueden convertirse en objetivos de la recopilación.

Anuncios, dominios reactivados y páginas falsas distribuyeron el exploit

Una investigación del 21 de octubre de iVerify y Report URI documentó la distribución de DarkSword mediante anuncios maliciosos e integraciones web abandonadas. En uno de los casos, un anuncio de Instagram con temática de la Copa del Mundo infectó el dispositivo de un empleado mientras navegaba por su feed. El caso muestra cómo un contenido publicitario puede conducir a una amenaza sin que la persona busque una herramienta cripto.

Un grupo distinto atacó posteriormente al mismo empleado mediante un enlace malicioso que entregaba otra variante de DarkSword. La secuencia reúne dos mecanismos diferentes: un anuncio que aparece durante la navegación y un enlace que dirige a contenido hostil. Por eso, evitar enlaces desconocidos no elimina por sí solo el riesgo de anuncios o integraciones comprometidas.

Report URI rastreó una campaña llamada DeadTag hasta dominios expirados que antes habían servido a servicios de analítica y publicidad. Los atacantes compraron esos dominios y aprovecharon integraciones que seguían incrustadas en sitios web para redirigir visitantes, una forma de reutilizar conexiones existentes en lugar de depender exclusivamente de páginas creadas desde cero.

Los investigadores identificaron cientos de dominios re-registrados integrados en miles de sitios y estimaron que la red observada recibía 135 millones de visitas mensuales. Esa cifra representa tráfico potencial en sitios capaces de servir los exploits si los visitantes cumplían las condiciones de los atacantes; no equivale a 135 millones de infecciones confirmadas ni mide el número de wallets comprometidas.

La investigación también incluyó una página falsa de Polymarket que distribuía Coruna y P7 DarkSword. Según el informe, la infección podía producirse automáticamente cuando el contenido malicioso se cargaba en un dispositivo vulnerable. Así, el riesgo descrito se relaciona con la exposición a una página y con la versión del sistema, no con una operación autorizada por el usuario dentro de una plataforma de predicción.

Actualizar iOS y reemplazar las frases de recuperación expuestas

En su advertencia del 6 de noviembre, CertiK nombró MetaMask, Trust Wallet, Phantom, Exodus y Coinbase entre las aplicaciones supuestamente atacadas, además de advertir sobre contraseñas y frases de recuperación guardadas en otras partes del teléfono. La firma resumió el riesgo señalando que abrir un sitio malicioso en Safari podría ser suficiente, sin conexión a una wallet ni firma. Se trata de una advertencia atribuida a CertiK, no de una afirmación de que cada instalación de esas aplicaciones haya sido vulnerada.

CertiK recomendó instalar las actualizaciones disponibles desde Ajustes, General y Actualización de software, además de evitar enlaces desconocidos. Apple indica que iOS 27.2 es la versión más reciente; los usuarios deben instalar la actualización que corresponda a su dispositivo. CertiK también aconsejó no guardar frases semilla en Fotos, Notas o capturas de pantalla, porque esos datos en el teléfono pueden aumentar las consecuencias de una infección que logre acceder a archivos personales o información almacenada.

Para tenencias significativas, la firma recomendó considerar wallets de hardware y sugirió el Modo de Aislamiento para usuarios con mayor exposición. Google también aconsejó activar ese modo cuando no fuera posible actualizar el sistema. Estas medidas se presentan como defensas adicionales, mientras que los parches siguen siendo centrales frente a vulnerabilidades conocidas.

Si una persona sospecha que su dispositivo fue comprometido, CertiK aconsejó trasladar los fondos a una wallet nueva, creada desde un equipo limpio y actualizado, y no reutilizar la frase de recuperación anterior. iVerify, por su parte, recomendó cambiar las contraseñas almacenadas en el llavero del teléfono afectado. Mover los activos sin sustituir una frase expuesta dejaría abierta la posibilidad de que alguien conserve las credenciales necesarias para acceder a la nueva wallet.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados