Il CISO di SlowMist avverte: exploit "full-chain" su iOS può rubare le chiavi dei wallet crypto

SlowMist ha lanciato un allarme urgente il 19 settembre. Il Chief Information Security Officer, noto come 23pds, invita gli utenti iPhone ad aggiornare subito i dispositivi dopo aver verificato che attori malevoli hanno reso operativo un exploit "full-chain" per iOS in grado di sottrarre in modo silenzioso chiavi private e frasi mnemoniche (seed) dai wallet di criptovalute. La segnalazione, pubblicata su X dal ricercatore, riguarda dispositivi con iOS dalla versione 13 fino alla 26.5 e rappresenta un rischio elevato per gli asset in autocustodia conservati su wallet mobili. Come funziona la catena di exploit L'attacco inizia quando la vittima apre in Safari una pagina web malevola, spesso raggiunta tramite tecniche di social engineering o link "watering hole". La pagina sfrutta una vulnerabilità di corruzione della memoria in WebKit e JavaScriptCore per ottenere capacità di lettura e scrittura arbitrarie a livello JavaScript. In seguito, la catena aggira i Pointer Authentication Codes per ottenere esecuzione di codice nativo, evade il sandbox WebContent e arriva all'escalation fino a privilegi root a livello kernel. A quel punto diventa possibile leggere il Keychain del dispositivo ed estrarre dati delle app di wallet, incluse chiavi private e frasi di recupero. A differenza del phishing tradizionale, che punta a convincere l'utente a digitare la seed phrase, qui non serve alcuna interazione oltre all'apertura del link. È questo l'elemento che rende l'avviso particolarmente critico. Chi è esposto Secondo 23pds, l'intervallo interessato va da iOS 13 a iOS 26.5; il limite superiore resta in attesa di conferma definitiva. Poiché l'exploit estrae le chiavi direttamente dal dispositivo, un wallet compromesso non è ripristinabile con un reset della password: chi entra in possesso delle chiavi può movimentare i fondi. Il rischio è massimo per chi usa soluzioni in autocustodia, perché una sottrazione a livello dispositivo non lascia alcun canale di recupero lato exchange. L'allerta arriva mentre aumentano le minacce mobile e legate agli app store per gli investitori retail in criptovalute. Di recente, Apple è stata accusata di aver mantenuto disponibile su App Store un falso wallet Bitcoin anche dopo la segnalazione di un furto da 875.000 dollari. Cosa fare Le indicazioni di SlowMist sono nette: aggiornare iOS all'ultima versione il prima possibile, evitare di aprire in Safari link non richiesti e, per chi ha usato un dispositivo potenzialmente vulnerabile per gestire un hot wallet, generare nuove chiavi su un device pulito e aggiornato e trasferire i fondi. L'episodio si inserisce in una dinamica di attacchi "mobile-first" e campagne di phishing mirate agli utenti crypto, più volte evidenziata dalle società di sicurezza. Al momento SlowMist non ha pubblicato un advisory formale più esteso: al momento della stesura, il post del ricercatore resta la principale divulgazione pubblica.