CISO SlowMist предупредил: FullChain-эксплойт для iOS способен похищать ключи криптокошельков

Директор по информационной безопасности SlowMist (CISO) под ником 23pds 19 сентября выпустил срочное предупреждение: владельцам iPhone следует немедленно обновить iOS. По его данным, злоумышленники уже ввели в эксплуатацию fullchain-цепочку уязвимостей iOS, которая может незаметно извлекать приватные ключи и мнемонические seed-фразы из криптокошельков. Публикация исследователя в X указывает на риск для устройств под управлением iOS 13–iOS 26.5; верхняя граница, как уточняется, еще требует окончательного подтверждения. Угроза особенно критична для активов в мобильных кошельках с самостоятельным хранением. Как работает цепочка атаки Атака начинается, когда жертва открывает вредоносную веб-страницу в Safari — чаще всего по ссылке из социальной инженерии или с "watering hole"-ресурса. Далее страница использует баг повреждения памяти в WebKit и JavaScriptCore, получая произвольное чтение и запись на уровне JavaScript. Затем цепочка обходит Pointer Authentication Codes, получает выполнение нативного кода, выходит из песочницы WebContent и повышает привилегии до root на уровне ядра. Этого достаточно, чтобы читать Keychain устройства и извлекать данные приложений кошельков, включая приватные ключи и фразы восстановления. В отличие от классического фишинга, здесь не требуется, чтобы пользователь вводил seed-фразу: достаточно перейти по ссылке. Кого затрагивает По словам 23pds, под ударом диапазон iOS 13–iOS 26.5, при этом верхняя граница пока не подтверждена окончательно. Поскольку ключи извлекаются напрямую с устройства, компрометацию кошелька нельзя "исправить" сменой пароля: тот, кто получил приватные ключи, способен перевести средства. Наибольший риск несут пользователи self-custody, так как при краже ключа на уровне устройства отсутствует механизм восстановления со стороны биржи. Предупреждение прозвучало на фоне роста мобильных угроз и рисков в магазинах приложений для розничных держателей криптоактивов. В числе резонансных случаев — недавние обвинения в адрес Apple, что в App Store продолжал оставаться фейковый Bitcoin-кошелек после сообщения о краже на $875 000. Что делать пользователям Рекомендации SlowMist предельно конкретны: немедленно обновить iOS до последней версии, не открывать в Safari непрошенные ссылки, а тем, кто держал hot wallet на потенциально уязвимом устройстве, — сгенерировать новые ключи на чистом, обновленном устройстве и перевести средства. SlowMist пока не опубликовала расширенный официальный бюллетень; на момент подготовки материала основной публичный источник — пост исследователя.