CISO ของ SlowMist เตือนช่องโหว่ FullChain บน iOS ขโมยกุญแจกระเป๋าเงินคริปโต

23pds ประธานเจ้าหน้าที่ความปลอดภัยสารสนเทศ (CISO) ของ SlowMist ออกประกาศเตือนเร่งด่วนเมื่อวันที่ 19 กันยายน ขอให้ผู้ใช้ iPhone อัปเดตเครื่องทันที หลังยืนยันว่ากลุ่มผู้โจมตีได้นำช่องโหว่แบบ fullchain บน iOS ไปใช้งานจริงแล้ว และสามารถดึง private key รวมถึง mnemonic seed phrase จากกระเป๋าเงินคริปโตได้แบบเงียบ ๆ การเปิดเผยดังกล่าวถูกโพสต์บน X โดยนักวิจัยรายนี้ และระบุช่วงอุปกรณ์ที่ได้รับผลกระทบตั้งแต่ iOS 13 ถึง iOS 26.5 ซึ่งนับเป็นความเสี่ยงร้ายแรงต่อสินทรัพย์แบบ self-custody ในกระเป๋าเงินบนมือถือ รายละเอียดของชุดโจมตีเริ่มจากเหยื่อเข้าเว็บเพจอันตรายใน Safari โดยมักถูกพาไปผ่านการหลอกลวงทางสังคม (social engineering) หรือผ่านลิงก์แบบ watering-hole หน้าเว็บจะอาศัยบั๊ก memory corruption ใน WebKit และ JavaScriptCore เพื่อให้ได้สิทธิ์อ่าน/เขียนแบบ arbitrary ในชั้น JavaScript จากนั้นโจมตีจะหลบเลี่ยง Pointer Authentication Codes เพื่อยกระดับไปสู่การรันโค้ดแบบ native หลุดออกจาก WebContent sandbox และไต่ไปถึงสิทธิ์ระดับ root ที่ชั้น kernel เพียงพอสำหรับอ่าน Keychain ของเครื่องและดึงข้อมูลแอปกระเป๋าเงิน รวมถึง private key และวลีสำหรับกู้คืน (recovery phrase) จุดอันตรายคือผู้ใช้ไม่ต้องกรอก seed phrase เหมือนฟิชชิงทั่วไป แค่เข้าลิงก์ก็อาจถูกขโมยข้อมูลได้ 23pds ระบุว่าช่วงที่ได้รับผลกระทบคือ iOS 13 ถึง iOS 26.5 โดยขอบเขตด้านบนยังรอการยืนยันขั้นสุดท้ายเพิ่มเติม เมื่อกุญแจถูกดึงออกจากอุปกรณ์แล้ว กระเป๋าเงินที่ถูกเจาะไม่สามารถแก้ด้วยการรีเซ็ตรหัสผ่านได้ เพราะผู้ที่ได้กุญแจไปสามารถโอนเงินออกได้ทันที ความเสี่ยงหนักที่สุดอยู่ที่ผู้ใช้ self-custody เนื่องจากไม่มีช่องทางกู้คืนฝั่งแพลตฟอร์มหรือเอ็กซ์เชนจ์ คำเตือนนี้เกิดขึ้นท่ามกลางกระแสภัยคุกคามบนมือถือและ App Store ที่เพิ่มขึ้นต่อผู้ถือคริปโตรายย่อย รวมถึงกรณีล่าสุดที่ Apple ถูกกล่าวหาว่ายังปล่อยให้แอปกระเป๋าเงิน Bitcoin ปลอมอยู่บน App Store แม้มีรายงานการขโมยเงินมูลค่า 875,000 ดอลลาร์แล้ว SlowMist แนะนำให้ผู้ใช้ดำเนินการทันที ได้แก่ อัปเดต iOS เป็นเวอร์ชันล่าสุด หลีกเลี่ยงการคลิกลิงก์ที่ไม่ได้ร้องขอใน Safari และสำหรับผู้ที่เคยใช้เครื่องในช่วงเสี่ยงเก็บ hot wallet ให้สร้างกุญแจชุดใหม่บนอุปกรณ์ที่สะอาดและอัปเดตแล้ว พร้อมย้ายสินทรัพย์ออกไป เหตุการณ์นี้สะท้อนรูปแบบการโจมตีที่เน้นมือถือและฟิชชิงที่พุ่งเป้าผู้ใช้คริปโต ซึ่งบริษัทด้านความปลอดภัยเตือนซ้ำมาโดยตลอด ขณะนี้ SlowMist ยังไม่เผยแพร่คำแนะนำเชิงเทคนิคฉบับเต็ม ทำให้โพสต์ของนักวิจัยยังเป็นแหล่งเปิดเผยสาธารณะหลัก ณ เวลาที่รายงาน