CZ warnt iPhone-Nutzer vor DarkSword und möglichen Risiken für die Wallet-Sicherheit und rät zu iOS-Updates

CZs Warnung rückt Geräte-Updates in den Mittelpunkt der Wallet-Sicherheit

Binance-Mitgründer Changpeng Zhao, weithin als CZ bekannt, rief iPhone-Nutzer in einem Beitrag vom 6. November auf X dazu auf, die neuesten iOS-Updates zu installieren. Besonderen Nachdruck legte er auf diejenigen, die ihre Geräte schon länger nicht aktualisiert haben. Die Nachricht folgte auf Berichte über DarkSword, einen Exploit, der angeblich schädliche Websites nutzt, die in Safari geöffnet werden, um Informationen auf iPhones ins Visier zu nehmen. Im Mittelpunkt steht die Sicherheit des Geräts, auf dem Wallet-Daten gespeichert sind – nicht nur die Sicherheit einer Wallet-Anwendung.

CZ hob außerdem eine leicht zu übersehende Grenze hervor: Ein Update der Krypto-Wallet-App aktualisiert nicht das Betriebssystem des Telefons. Seine Botschaft stellte Selbstverwahrung als etwas dar, das von Nutzern verlangt, Verantwortung für die Wartung des Geräts ebenso wie für die Verwaltung ihrer Wallet zu übernehmen. Diese Unterscheidung ist im vorliegenden Szenario wichtig, da der mutmaßliche Zugang zum Telefon über eine kompromittierte Website erfolgt und nicht über eine Schwachstelle, die zwingend eine Aktion innerhalb einer Wallet-App erfordert.

Der gemeldete Verdacht lautet, dass eine Person sensible Informationen allein dadurch preisgeben könnte, dass sie eine infizierte Website besucht – ohne eine Wallet zu verbinden, eine Transaktion zu signieren oder eine Genehmigung zu erteilen. Ein Krypto-Nutzer, der über die Bedrohung sprach, beschrieb auf dem Gerät gespeicherte Wallet-Dateien und Wiederherstellungsphrasen als mögliche Ziele. Diese Details erklären, warum der Bericht unter Nutzern, die ihre Vermögenswerte selbst verwahren, Aufmerksamkeit erregt hat: Informationen, mit denen sich eine Wallet kontrollieren lässt, könnten gefährdet sein, selbst wenn der Nutzer keine Kryptotransaktion ausführt.

Was Forscher über DarkSword berichtet haben

Die Behauptungen zu DarkSword beschränken sich nicht auf einen möglichen Angriffsweg. Der Bedrohungsforscher Officer’s Notes berichtete, dass durch die Schwachstelle bereits Kryptowährungen im Wert von etwa 5,57 Millionen US-Dollar gestohlen worden seien. Dem Bericht zufolge waren außerdem mehr als 18 Websites an der Verbreitung schädlichen Codes beteiligt. Dabei handelt es sich um Angaben des Forschers und nicht um unabhängig bestätigte Erkenntnisse im vorliegenden Material. Sie beschreiben also das behauptete Ausmaß und sollten mit dieser Zuschreibung im Hinterkopf gelesen werden.

Officer’s Notes berichtete außerdem, dass DarkSword online für 30.000 US-Dollar zum Verkauf angeboten wurde und der Verkäufer iOS 18.6.2 als die neueste unterstützte Firmware-Version angab. Der Forscher erklärte auch, Platzhalter für iOS 26 und 27 gefunden zu haben. Diese Beobachtung könnte auf Vorbereitungen für mögliche künftige Exploits hindeuten, doch Platzhalter allein belegen nicht, dass für diese Versionen funktionierende Angriffe existieren. Der Bericht stellt sie als mögliches Zeichen einer geplanten Weiterentwicklung dar, nicht als Beweis für aktuelle Fähigkeiten.

Der Forscher sagte, Apple habe bereits alle sechs Schwachstellen gepatcht, die in der bekannten Exploit-Kette zum Einsatz kamen. Diese Einschränkung ist angesichts der Warnungen wichtig: Die gemeldete Kette wird nicht als durchweg ungepatcht beschrieben. Officer’s Notes zufolge könnten jedoch Teile einer älteren Version weiterhin wiederverwendet werden. Zudem habe man eine Variante entdeckt, die eine speziell für die imToken-Wallet vorgesehene Funktion enthielt. Aus der vorliegenden Darstellung geht weder hervor, unter welchen Bedingungen dieser Code weiterhin nutzbar ist, noch welche Geräte genau betroffen sind.

Frühere iPhone-Vorfälle verdeutlichen das Risiko

Die Berichte werfen somit zwei zusammenhängende, aber unterschiedliche Fragen auf: ob auf einem Smartphone die Patches für die Schwachstellen der bekannten Kette installiert wurden und ob älterer, auf Wallets ausgerichteter Code weiterhin für andere Zwecke genutzt werden kann. Laut dem Forscher beheben Apples Patches die in dieser Kette identifizierten Schwachstellen. Die Aussage zu wiederverwendbaren Komponenten bezieht sich hingegen auf Code aus einer früheren Version. Die Quelle belegt weder, dass jedes iPhone weiterhin gefährdet ist, noch enthält sie eine vollständige Liste der betroffenen Geräte oder Softwarestände.

Für Menschen, die Wiederherstellungsphrasen oder Wallet-Dateien auf einem Telefon speichern, verändert der mutmaßliche Weg ohne Zustimmung das gewohnte Verständnis von Transaktionssicherheit. Nutzer erwarten möglicherweise, dass eine Wallet-Verbindung oder eine Signaturabfrage erforderlich ist, bevor Vermögenswerte gefährdet werden können. Dem Bericht zufolge könnten sensible Daten jedoch bereits nach dem Besuch einer kompromittierten Website ins Visier geraten. Das bedeutet nicht, dass jeder Besuch zu einem Diebstahl führt; es unterstreicht vielmehr, dass die Geräte- und Browsersicherheit neben den in der Wallet-Software integrierten Schutzmaßnahmen eine Rolle spielen kann.

DarkSword ist nicht das einzige iPhone-Sicherheitsproblem in der Quelle, das mit Krypto-Bedenken in Verbindung gebracht wird. Eine separate Schwachstelle in Apples 2D-Rendering-Engine CoreGraphics konnte es ermöglichen, dass beim Verarbeiten einer speziell präparierten Datei durch das Gerät schädlicher Code ausgeführt wurde. Apple behob dieses Problem mit den im Bericht genannten Versionen iOS 26.7.1 und iPadOS 26.7.1 gegen Ende September. Der Bericht stellt keinen technischen Zusammenhang zwischen diesem Vorfall und DarkSword her; er ist als weiteres angeführtes Beispiel für eine Gefährdung auf Geräteebene relevant.

Was bekannt ist – und was weiterhin ungeklärt bleibt

Apple räumte dem vorliegenden Bericht zufolge ein, dass die CoreGraphics-Schwachstelle bei hochentwickelten Angriffen auf bestimmte Personen ausgenutzt worden sein könnte. SlowMist reagierte damals mit einer Warnung an Krypto-Nutzer, ihre Geräte zu aktualisieren und verdächtige Links sowie Downloads zu meiden. Diese Vorgeschichte liefert Kontext für CZs aktuelle Betonung von Betriebssystem-Updates, belegt jedoch nicht, dass es sich bei der früheren Schwachstelle und DarkSword um denselben Exploit handelt. Die Vorfälle werden als getrennte Sicherheitsfälle dargestellt, bei denen es jeweils um den Schutz sensibler Informationen geht.

Ein weiterer Fall betraf die App FomoPeek. SlowMist und die Sicherheitsexperten von OKX sollen Berichten zufolge schädlichen Code in der Anwendung gefunden haben, der Schwachstellen in iOS ausnutzen und auf sensible Informationen zugreifen konnte, für die FomoPeek normalerweise keine Berechtigung hatte. Der vorgelegte Bericht enthält keine Angaben zur Zahl der betroffenen Nutzer, zu Verlusten oder zum Zeitpunkt eines möglichen Diebstahls. Die Bedeutung des Falls ist hier begrenzter: Auch installierte Apps wurden – ebenso wie Websites und Schwachstellen im Betriebssystem – als möglicher Weg zu Informationen beschrieben, auf die sie eigentlich keinen Zugriff haben sollten.

Einige Aspekte des DarkSword-Berichts sind weiterhin unklar: das volle Ausmaß der betroffenen Geräte, wie die gemeldeten Diebstähle verifiziert wurden und ob der identifizierte ältere Code in der Praxis auch aktuelle Software angreifen kann. Dem Bericht zufolge wurden die sechs Schwachstellen in der bekannten Angriffskette behoben; diese weiter gefassten Fragen bleiben jedoch offen. CZs Empfehlung ist trotz dieser Unsicherheit eindeutig: iOS auf dem neuesten Stand halten. Die Quelle bietet jedoch keine Grundlage für die Schlussfolgerung, dass alle iPhone-Nutzer betroffen sind oder ein Update allein sämtliche Sicherheitsbedenken rund um Wallets ausräumt.

Quelle: CryptoPotato