DarkSword e Coruna: plataforma para iOS rouba chaves de carteiras de criptomoedas
Uma infraestrutura ligada ao DarkSword, plataforma que comercializa acesso a aparelhos da Apple, foi identificada pela empresa de inteligência digital Censys. Ela também revelou detalhes do Coruna, malware criado para localizar e roubar informações de carteiras de criptomoedas. Os servidores ficaram expostos entre 15 e 17 de setembro, permitindo observar como a operação funcionava.
O ataque começa durante a navegação na internet. O DarkSword explora vulnerabilidades no WebKit e no JavaScriptCore, componentes usados para exibir páginas e executar código no navegador. Depois de comprometer o aparelho, o programa consegue escapar das restrições que isolam o Safari e alcançar partes mais profundas do sistema.
A infecção instala três componentes. Um sinalizador verifica o dispositivo e sua disponibilidade; um controlador coordena as ações seguintes; e um implante principal executa as tarefas maliciosas. Essa estrutura modular permite que os operadores administrem o ataque em etapas, em vez de depender de um único arquivo.
É nessa fase que o Coruna procura dados capazes de dar acesso a criptoativos. O alvo prioritário é a frase de recuperação – uma sequência de palavras que permite restaurar uma carteira em outro aparelho. O malware examina imagens e notas armazenadas no Apple Notes, mas só encaminha combinações que correspondem ao padrão BIP39, usado por diversas carteiras digitais.
O Coruna reúne 19 módulos voltados a diferentes aplicativos. Entre os alvos identificados estão MetaMask, Phantom, Trust Wallet, Coinbase, Exodus, imToken, Bitpie e BitKeep. Além das frases de recuperação, o programa coleta contatos e procura fotografias que contenham o texto dessas sequências.
Uma cópia de um servidor exposto continha 11 frases de recuperação atribuídas a vítimas, 179 diretórios com dados extraídos de aparelhos e 75 contas de operadores. Esses registros, porém, não permitem concluir que havia exatamente 179 pessoas infectadas nem calcular quanto dinheiro foi roubado. O volume de arquivos, por si só, não comprova o número de vítimas ou o prejuízo financeiro.
O painel de administração indica uma operação organizada comercialmente. Ele apresenta contas de agentes, comissões e limites de dispositivos vinculados a cada operador. Esse modelo sugere a existência de revenda e divisão de funções, em vez de uma única equipe conduzindo todos os ataques.
As infecções confirmadas pela investigação ocorreram em aparelhos com iOS 16.1 e 16.3.1. A Apple informou que ampliou para mais dispositivos com iOS 18 a distribuição das correções relacionadas ao DarkSword. Manter o sistema atualizado é uma das medidas centrais para reduzir a exposição às falhas exploradas pela plataforma.
Como reduzir o risco para suas carteiras
Instale as atualizações do iOS assim que estiverem disponíveis e mantenha também os aplicativos de carteira atualizados. As correções de segurança não eliminam todos os riscos, mas podem fechar vulnerabilidades conhecidas antes que sejam exploradas em novos ataques.
Evite guardar a frase de recuperação em fotos, capturas de tela, notas digitais, e-mails ou serviços de armazenamento em nuvem. Se alguém obtiver essa sequência, poderá restaurar a carteira em outro dispositivo e movimentar os fundos sem precisar do aparelho original. Prefira mantê-la fora do ambiente conectado à internet, protegida contra acesso físico indevido.
Desconfie de páginas que peçam para instalar arquivos, perfis ou aplicativos fora dos canais oficiais, ou que solicitem a frase de recuperação para “verificar”, “sincronizar” ou “desbloquear” uma carteira. O suporte legítimo de uma carteira não precisa dessa sequência para ajudar o usuário.
Quem suspeitar que a frase foi exposta deve considerar a carteira comprometida. A prioridade é criar uma nova carteira em um dispositivo confiável e transferir os ativos para ela, sem reutilizar a sequência antiga. Antes de agir, é importante conferir cuidadosamente o endereço de destino e, se necessário, buscar orientação por canais oficiais do aplicativo.
Também vale verificar se existem fotos, documentos ou notas com a frase de recuperação armazenados no celular. Apagar esses arquivos pode reduzir a exposição futura, mas não torna segura uma sequência que já tenha sido copiada por um invasor. Nesse caso, a substituição da carteira é a medida mais prudente.