تحذير من CISO لدى SlowMist: سلسلة استغلال كاملة على iOS تسرق مفاتيح محافظ العملات الرقمية

أطلق مسؤول أمن المعلومات في SlowMist، المعروف باسم 23pds، تحذيراً عاجلاً في 19 سبتمبر دعا فيه مستخدمي iPhone إلى تحديث أجهزتهم فوراً، بعد تأكيده أن مهاجمين فعّلوا عملياً استغلالاً من نوع "fullchain" على نظام iOS قادر على سحب المفاتيح الخاصة وعبارات الاسترداد (Seed/Mnemonic) من محافظ العملات الرقمية بصمت. ونُشر الكشف عبر منصة X، ويغطي — وفقاً للباحث — أجهزة تعمل بإصدارات من iOS 13 وحتى iOS 26.5، ما يشكل خطراً كبيراً على الأصول المُدارة ذاتياً داخل المحافظ المحمولة. كيف تعمل سلسلة الاستغلال تبدأ الهجمة عند زيارة الضحية صفحة ويب خبيثة عبر Safari، غالباً عبر أساليب الهندسة الاجتماعية أو روابط "watering hole". تستغل الصفحة ثغرة تلف في الذاكرة داخل WebKit وJavaScriptCore للحصول على قدرة قراءة وكتابة تعسفية ضمن طبقة JavaScript. بعد ذلك تتجاوز السلسلة آلية Pointer Authentication Codes للوصول إلى تنفيذ شيفرة أصلية، ثم تفلت من عزل WebContent sandbox وتتصاعد إلى صلاحيات جذر على مستوى النواة، بما يكفي للوصول إلى Keychain وسحب بيانات تطبيقات المحافظ، بما في ذلك المفاتيح الخاصة وعبارات الاسترداد. ما يميز هذه السلسلة عن صفحات التصيّد التقليدية أنها لا تعتمد على إدخال المستخدم لعبارة الاسترداد؛ يكفي فتح رابط واحد، وهو ما يفسر حدة التحذير. من المتأثر قال 23pds إن النطاق المتأثر يمتد من iOS 13 إلى iOS 26.5، مع الإشارة إلى أن الحد الأعلى لا يزال بانتظار تأكيد نهائي. وبما أن الاستغلال يستخرج المفاتيح مباشرة من الجهاز، فإن إعادة تعيين كلمة المرور لا تفيد في استعادة محفظة مخترقة؛ فأي جهة تحصل على المفاتيح المسروقة تستطيع نقل الأموال. وتبدو المخاطر الأعلى على مستخدمي الحفظ الذاتي، إذ لا توجد آلية استرداد لدى المنصات عندما تُسرق المفاتيح على مستوى الجهاز. ويأتي التحذير وسط تصاعد تهديدات الهواتف ومتاجر التطبيقات التي تستهدف حاملي العملات الرقمية الأفراد، بما في ذلك قضية حديثة اتُهمت فيها Apple بالإبقاء على محفظة Bitcoin مزيفة على App Store بعد الإبلاغ عن سرقة بقيمة 875,000 دولار. ماذا على المستخدمين فعله جاءت توصيات SlowMist مباشرة: التحديث إلى أحدث إصدار من iOS فوراً، وتجنب فتح الروابط غير المطلوبة في Safari، ولمن استخدم جهازاً ضمن النطاق المعرض للاختراق لإدارة محفظة ساخنة (Hot Wallet)، يُنصح بإنشاء مفاتيح جديدة على جهاز نظيف ومحدّث ثم نقل الأموال. وتندرج الواقعة ضمن نمط هجمات تركّز على الهاتف والتصيّد تستهدف مستخدمي العملات الرقمية بشكل مباشر، وهو نهج سبق أن حذرت منه شركات أمنية مراراً. ولم تنشر SlowMist حتى الآن نشرة إرشادية موسعة، ما يجعل منشور الباحث على X المصدر العلني الأساسي للكشف وقت كتابة هذا التقرير.