Кража крипты с iPhone: кит DarkSword и Coruna, пустые кошельки в арбитражном Telegram и как защитить выплаты

Привет, котаны! 7 октября Censys разобрал живую инфраструктуру эксплойт-кита DarkSword и Coruna для iPhone и прямо назвал его назначение: кража кошельков. Через неделю в арбитражном Telegram о пустых кошельках написали Маша Дорвей (15 октября, 3 кошелька) и казино-стример ГринБратуха (18 октября, минус 39 791.87 USDT). Связь этих краж с китом никто не доказал: ни Censys, ни Google, ни сами пострадавшие. Но механика похожа, а выводы для денег одинаковые при любом векторе. Разбираем, что известно, что видно ончейн и как развести кошельки, чтобы 1 телефон не уносил все выплаты команды.

Читать в полной версии

 

2 кражи за 4 дня: что написали пострадавшие

 

Маша Дорвей. 15 октября в 07:53 UTC владелица рекламного агентства, которая сама льет через Telegram Ads, написала, что открыла телефон, а с кошельков ушли все деньги, хотя "никаких левых приложений на тлф я не устанавливала".

Через 2 часа в следующем посте уточнила: лежала на пляже, к Wi-Fi не подключалась, сид-фраз никто не знал, кошельков было 3 (в первом посте писала про 2), списали со всех. В настройках "стояло подписание транзакций. Это не помогло". Сама она склоняется к версии со старой iOS: возможно, что-то подтянулось, пока она ходила по сайтам.
 


Дальше Дорвей написала, что "этот хакер" за день вывел $174 тыс., а ее телефон превратился в кирпич: приложения удалились, ничего не ставится. 19 октября она сообщила, что сумма ущерба уже $1.2 млн, но чей это ущерб, ее или всех жертв, из поста непонятно. Адресов она не публиковала, так что обе цифры остаются ее словами.
 

ГринБратуха. 18 октября в 17:08 UTC казино-стример с Kick написал капсом: "У МЕНЯ ТОЛЬКО ЧТО УКРАЛИ 40000 ДОЛЛАРОВ. ЭТО БЫЛИ ВСЕ МОИ ДЕНЬГИ. Я НИКУДА НЕ ПРИВЯЗЫВАЛ КОШЕЛЕК". К посту приложил скриншот кошелька (отправлено 39 791.87 USDT на TRXzXB...11JZQ), через 5 минут скинул ссылку на транзакцию в TronScan. Про устройство и версию iOS он не писал, статус-бар на скриншоте похож на айфонный, но не более того.
 

 

Что видно ончейн

 

Транзакцию ГринБратухи мы прошли по блокчейну TRON:

Раз перевод подписан ключом кошелька, у вора был сид или приватный ключ, либо доступ к подписи на самом телефоне. Дрейнер, где жертва сама подключает кошелек к сайту и подписывает апрув, тут ни при чем, и "никуда не привязывал" с ончейном сходится. Подтверждение транзакций в приложении от такого не спасает: кошелек с сидом поднимается на любом устройстве.
 

Еще деталь: 16 октября тот же адрес за 15 секунд принял 8 522.86 и 21 588.81 USDT с 2 других кошельков, следом с первого пришел остаток TRX, а через 35 минут 30 111.67 USDT ушли дальше одним переводом. Почерк тот же. Чьи это кошельки, блокчейн не скажет, но на разовую кражу у 1 человека не похоже.

А краденые USDT рано или поздно идут через обменники и биржи, и если такой транш прилетит тебе как оплата, объясняться будешь ты: как риск-скоринг адреса замораживает выплаты, мы уже разбирали.

 

DarkSword и Coruna: эксплойт-кит, который охотится за кошельками

 

Coruna Google Threat Intelligence Group (GTIG) описала 4 марта 2026: 5 цепочек и 23 эксплойта под iPhone на iOS от 13.0 до 17.2.1. Кит прошел путь от клиента вендора слежки (февраль 2025) и взломанных украинских сайтов (лето 2025) до массовых кампаний UNC6691, финансово мотивированной группы из Китая. Те раскидали его по фейковым финансовым сайтам, включая копию криптобиржи WEEX: заходишь с айфона на старой iOS, и через скрытый iframe прилетает эксплойт, из какой бы страны ты ни был.
 

Нагрузка ищет в Заметках слова BIP39 и фразы вроде "backup phrase", распознает QR-коды в картинках и цепляется к 18 кошелькам. В списке GTIG MetaMask, Phantom, Trust Wallet, TronLink, BitKeep (ныне Bitget Wallet), Tonkeeper, MyTonWallet, Tonhub. Ровно то, где арбитраж держит USDT TRC20 и TON под Telegram Ads.
 

DarkSword GTIG разобрала 18 марта: 6 уязвимостей под iOS 18.4-18.7, 3 из них zero-day. Цепочку использовали вендоры слежки и, предположительно, госгруппы в Саудовской Аравии, Турции, Малайзии и Украине, а 1 из нагрузок, GHOSTBLADE, среди прочего собирает данные криптокошельков. Все 6 дыр закрыты в iOS 26.3, большинство раньше.
 

Что нашел Censys. В отчете от 7 октября 5 серверов с открытыми директориями, найденных 15-17 сентября. Киты работают в связке: iPhone на iOS ниже 18 получает Coruna, на 18 и выше форк DarkSword. Вывод Censys: "The kit's purpose is wallet theft". Внутри 18 модулей, по 1 на кошелек, а имплант вытаскивает сид-фразы из фото и Заметок и отправляет только валидные. Заодно уходит адресная книга.
 

Скриншот: Censys, отчет об открытых директориях DarkSword и Coruna, 07.10.2026
 

На панели оператора 11 сид-фраз жертв (TronLink, Bitget, Bitpie, Trust, Phantom, imToken), 87+ ончейн-адресов и 179 папок с добычей. 6 сентября Censys видел вживую 2 зараженных iPhone на iOS 16.1 и 16.3.1 в Ханчжоу и Гонконге. Оператор, по оценке Censys с умеренной уверенностью, китайскоязычный.
 

А теперь деталь, от которой у аффилиата дернется веко. Это exploitation-as-a-service: в панели 75 аккаунтов с агентами, ставками комиссии и квотами на устройства. У эксплойт-кита своя партнерка, и на кого охотиться, решает каждый агент сам. Хорошая новость: iOS 26 кит пока не берет. Censys нашел разработку 7-й уязвимости под 26-ю ветку, но она не развернута, и авторы просят не считать 26.x живой целью.
 


 

Что сходится, а что нет

 

Совпадений много, доказательства нет. Те же симптомы дает любая утечка сида: фото фразы в облачной галерее, фейковое приложение кошелька, сид, вставленный в "проверочный" сайт. Поэтому дальше не про то, кто виноват, а про то, как сделать, чтобы 1 скомпрометированный телефон не уносил все.

Инфографика: таймлайн DarkSword и Coruna от патчей Apple до краж в арбитражном Telegram. Связь краж 15 и 18 октября с китом не подтверждена. Данные: Apple, Google GTIG, Censys, посты пострадавших.

 

Какая iOS в зоне риска и что ставить

 

Версию смотри в Настройках: Основные, Об этом устройстве. Там же, в Обновлении ПО, включи автообновления: 18.7.7 Apple раскатывала шире именно для тех, у кого они включены.

Скриншот: Apple, About the security content of iOS 18.7.7 and iPadOS 18.7.7, 24.03.2026, примечание от 01.04.2026
 

Если обновиться нельзя, GTIG советует Режим блокировки (Lockdown Mode): Настройки, Конфиденциальность и безопасность. Apple позиционирует его как защиту от "крайне редких и очень сложных кибератак", а Coruna, по данным GTIG, при нем просто сворачивается. Цена: часть веб-технологий блокируется, некоторые сайты ломаются. Для телефона с одними кошельками это ничто. Нюанс: режим есть только с iOS 16, iPhone 6s и 7 им не прикрыть.

 

Как байеру и команде защитить кошельки и выплаты

 

  1. Обновиться. Все телефоны с кошельками держать на актуальной ветке. Если телефон выше 15-й или 16-й iOS не обновляется, под кошельки он не годится.
  2. Отдельное устройство под деньги. На нем только кошельки и 2FA: без серфинга, Telegram-чатов, ссылок от реклов и рабочих профилей. Эти киты заражают через веб-страницу, так что телефон, который не ходит по сайтам, почти вне игры. Если на айфоне крутятся профили, например в Octo Browser на iOS, кошельков на нем быть не должно. Дорвей после кражи, по ее словам, перешла на 3 телефона: Android под крипту без интернета, телефон для серфинга и рабочий.
  3. Сид не хранить в телефоне. Ни в Заметках, ни скриншотом, ни фото бумажки, ни QR-кодом. Имплант ищет фразы именно там. Бумага или металл, офлайн.
  4. Аппаратный кошелек под хранение. Сид не покидает устройство, перевод подтверждается кнопкой на нем, и взлом телефона сам по себе деньги не уводит.
  5. Развести кошельки по ролям. Приемный под выплаты из партнерок (принял, проверил, перевел), рабочий под спенд и TON на Telegram Ads с лимитом на неделю, холодное хранение. В команде у каждого байера свой сид, а не 1 на всех: украли у 1, вся команда не обнулилась.
  6. Режим блокировки на телефоне с кошельками. Даже на свежей iOS это лишний слой против цепочки, которую уже пилят под 26-ю ветку.
  7. Сверять адрес целиком. Через 3 минуты после кражи ГринБратухе упала "пыль" 0.000004 TRX с адреса, который тоже кончается на 1JZQ. Это address poisoning: расчет, что в следующий раз ты скопируешь адрес из истории по последним символам.


Главное правило. Телефон, на котором лежит сид или кошелек с деньгами, не открывает ссылок и не ходит по сайтам, а крупные суммы живут на аппаратном кошельке. Тогда даже эксплойт, которому не нужен твой клик по "установить", унесет максимум недельный рабочий баланс, а не все выплаты.
 

Инфографика: как развести криптокошельки байеру и команде, чтобы 1 телефон не уносил все деньги.

 

Если деньги уже ушли

 

На прошлой неделе мы разбирали уязвимость tdata в Telegram Desktop. Там другая платформа и другой вектор, связи с этими кражами нет. Но мораль та же: устройство, где лежат деньги и сессии, не кликает по чужим ссылкам.

 

Итог

 

Связь краж у Дорвей и ГринБратухи с DarkSword и Coruna не доказана. Доказано другое: эксплойт-кит для iPhone, заточенный под кражу крипты, работает прямо сейчас, продается через агентов, ищет сиды в Заметках и фото и бьет по TronLink, Trust Wallet и Tonkeeper. Берет он только старые iOS, и это главная новость для твоих денег.
 

Что делать сегодня: проверить и обновить iOS на всех телефонах с кошельками, вычистить сиды из Заметок и галереи, вынести хранение на аппаратный кошелек, развести прием выплат, рабочий баланс и хранение по разным кошелькам и устройствам. Час работы против сценария "открыл телефон, а кошельки пустые".