CISO SlowMist cảnh báo lỗ hổng iOS dạng fullchain có thể đánh cắp khóa ví tiền mã hóa

Ngày 19/9, 23pds – Giám đốc An ninh Thông tin (CISO) của SlowMist – phát đi cảnh báo khẩn, kêu gọi người dùng iPhone cập nhật hệ điều hành ngay sau khi xác nhận tin tặc đã "vũ khí hóa" một chuỗi khai thác iOS dạng fullchain, có khả năng âm thầm rút cạn khóa riêng và cụm từ khôi phục (mnemonic seed phrase) từ các ví tiền mã hóa. Thông tin được đăng trên X cho biết phạm vi ảnh hưởng trải dài từ iOS 13 đến iOS 26.5, đe dọa nghiêm trọng tài sản tự lưu ký trên ví di động. Cách chuỗi khai thác hoạt động Kịch bản tấn công bắt đầu khi nạn nhân truy cập một trang web độc hại bằng Safari, thường đến từ thủ đoạn xã hội (social engineering) hoặc liên kết kiểu watering hole. Trang này khai thác lỗi hỏng bộ nhớ trong WebKit và JavaScriptCore để giành quyền đọc/ghi tùy ý ở lớp JavaScript. Từ điểm bám đó, kẻ tấn công vượt qua Pointer Authentication Codes để thực thi mã native, thoát khỏi sandbox WebContent và leo thang đặc quyền lên mức root ở nhân hệ điều hành. Khi đã đạt quyền kernel, chúng có thể đọc Keychain của thiết bị và trích xuất dữ liệu ứng dụng ví, gồm khóa riêng và cụm từ khôi phục. Điểm đáng lo là nạn nhân không cần nhập seed phrase như các trang lừa đảo (phishing) truyền thống; chỉ cần bấm vào liên kết và mở trang là đủ để bị tấn công. Đối tượng bị ảnh hưởng 23pds cho biết phạm vi bị ảnh hưởng hiện xác định từ iOS 13 đến iOS 26.5, dù mốc trên vẫn chờ xác nhận cuối cùng. Do khóa bị lấy trực tiếp từ thiết bị, việc "đổi mật khẩu" không thể khôi phục ví đã bị xâm nhập; bất kỳ ai nắm được khóa trích xuất đều có thể chuyển tiền. Rủi ro lớn nhất thuộc về người dùng tự lưu ký (self-custody), vì khi khóa bị đánh cắp ở tầng thiết bị sẽ không có cơ chế phục hồi phía sàn giao dịch. Cảnh báo này xuất hiện trong bối cảnh các mối đe dọa nhắm vào thiết bị di động và App Store gia tăng đối với nhà đầu tư nhỏ lẻ, trong đó có vụ việc gần đây Apple bị cáo buộc vẫn để một ví Bitcoin giả tồn tại trên App Store sau khi ghi nhận thiệt hại 875.000 USD. Khuyến nghị cho người dùng SlowMist đưa ra khuyến nghị dứt khoát: cập nhật iOS lên phiên bản mới nhất ngay lập tức; tránh mở các liên kết không rõ nguồn gốc trong Safari; với người từng dùng thiết bị thuộc diện dễ bị ảnh hưởng để giữ ví nóng (hot wallet), nên tạo bộ khóa mới trên thiết bị sạch đã cập nhật và chuyển toàn bộ tài sản sang địa chỉ mới. Đến thời điểm công bố, SlowMist chưa phát hành bản khuyến cáo chính thức dạng đầy đủ; bài đăng của 23pds vẫn là nguồn thông tin công khai chủ đạo.