O Google revelou a cadeia de exploração DarkSword para iOS, um ataque sofisticado e em múltiplas etapas ativo desde o final de 2025, que compromete silenciosamente iPhones — representando uma ameaça direta para usuários de criptomoedas que armazenam chaves e aplicativos de carteira em seus dispositivos.

O Google revelou uma cadeia sofisticada de exploração no iOS chamada DarkSword, que tem sido utilizada desde o final de 2025 para comprometer silenciosamente iPhones, colocando cerca de 270 milhões de dispositivos em risco e levantando preocupações urgentes para usuários de criptomoedas que armazenam aplicativos de carteira, frases-semente e credenciais de exchanges em seus celulares.

O Grupo de Inteligência de Ameaças do Google (GTIG) publicou suas descobertas em 18 de março de 2026, identificando DarkSword como uma exploração de cadeia completa no iOS capaz de assumir o controle total do dispositivo. A pesquisa foi conduzida em colaboração com as empresas de segurança móvel Lookout e iVerify.

Uma “cadeia de exploração” significa que os atacantes conectaram múltiplas vulnerabilidades separadas em sequência, cada uma desbloqueando a próxima etapa, até que o efeito combinado conceda controle total sobre o dispositivo alvo. DarkSword direciona versões do iOS 18.4 a 18.7 e utiliza JavaScript puro em todas as fases do ataque.

Seis Vulnerabilidades, Três Zero-Days, Três Grupos de Ameaça

DarkSword encadeia seis vulnerabilidades no total: três zero-days que eram desconhecidas pela Apple no momento da exploração, e três falhas previamente corrigidas que continuaram efetivas em dispositivos não atualizados. Os zero-days incluem CVE-2026-20700, um bypass PAC em dyld; CVE-2025-43529, uma falha de corrupção de memória em JavaScriptCore; e CVE-2025-14174.

O GTIG confirmou três grupos distintos de atores de ameaça utilizando a cadeia de exploração. UNC6353, um grupo suspeito de espionagem russo com foco na Ucrânia; UNC6748, que atacou a Arábia Saudita usando um site falso tematizado no Snapchat; e PARS Defense, uma fornecedora comercial turca de vigilância cujos clientes utilizaram DarkSword tão recentemente quanto janeiro de 2026 na Malásia.

Uma vez que o dispositivo é comprometido, DarkSword implanta três famílias de malware: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. GHOSTKNIFE, em particular, coleta contas autenticadas, mensagens, dados de navegador, histórico de localização, capturas de tela e áudio do microfone. O ataque opera silenciosamente, sem sintomas visíveis para o usuário.

Por que usuários de criptomoedas no iPhone enfrentam risco elevado

O kit pós-exploração do DarkSword é o pior cenário para qualquer pessoa que guarda ativos de criptomoedas em um iPhone. A capacidade de GHOSTKNIFE de coletar contas autenticadas, dados de navegador e aplicativos significa que sessões de exchange, credenciais de carteira e códigos autenticadores ficam ao alcance do atacante.

Frases-semente armazenadas no aplicativo de notas, iCloud Keychain ou gerenciadores de senha de terceiros em dispositivos comprometidos ficam efetivamente expostas. Carteiras móveis populares como MetaMask Mobile, Trust Wallet, Coinbase Wallet e Exodus operam dentro do sandbox de aplicativos do iOS que uma exploração de cadeia completa como DarkSword contorna totalmente.

A exploração segue o que pesquisadores da Lookout descreveram como abordagem “hit-and-run”, coletando e exfiltrando dados em segundos ou minutos antes de remover vestígios. O usuário pode nunca saber que seu dispositivo foi comprometido, enquanto as chaves de carteira e tokens de sessão da exchange já foram extraídos.

Cadeias zero-day anteriores no iOS como FORCEDENTRY e Operation Triangulation eram usadas principalmente para espionagem direcionada a indivíduos específicos. DarkSword é diferente. O GTIG descreveu como “amplamente utilizado”, e pesquisadores da Lookout alertaram que sua proliferação entre múltiplos grupos indica um mercado de revenda onde atacantes menos sofisticados podem adquirir exploits de alto nível.

Matthias Frielingsdorf, cofundador da iVerify, destacou um motivo para tal proliferação: “Hackers russos deixaram descuidadamente o código completo exposto em seus sites, o que significa que qualquer pessoa que pegasse manualmente todas as partes do exploit poderia instalar em seu próprio servidor web e começar a infectar celulares.”

Damon McCoy, professor do Centro de Segurança Cibernética da NYU, acrescentou: “Isso é uma ameaça bastante significativa. Ainda há provavelmente muitas pessoas usando essa versão desatualizada do iOS, e essas pessoas estão bastante vulneráveis.”

Atualize agora, mova suas chaves para fora do celular

A Apple corrigiu todas as seis vulnerabilidades do DarkSword. O iOS 26.3 resolve toda a cadeia de exploração, e a maioria das falhas individuais foi corrigida em atualizações anteriores. O GTIG reportou as vulnerabilidades à Apple no final de 2025, e domínios de entrega associados ao DarkSword foram adicionados ao Google Safe Browsing.

Ação imediata: atualize seu iPhone para a versão mais recente do iOS. Qualquer dispositivo ainda usando iOS 18.4 a 18.7 permanece vulnerável à cadeia completa de exploits.

Para detentores de criptomoedas, atualizar o iOS é necessário, mas não suficiente. O princípio central é claro: valores significativos não devem depender da segurança de um dispositivo de consumo conectado à rede. Transfira saldos relevantes para uma carteira de hardware. Não armazene frases-semente em Notas do iPhone, iCloud ou qualquer aplicativo em um celular conectado à internet.

Usuários que não podem migrar imediatamente os ativos devem ativar o Modo Lockdown do iOS, que reduz a superfície de ataque desativando recursos normalmente explorados, incluindo processamento de JavaScript em alguns contextos. Não é garantia contra uma cadeia tão sofisticada quanto DarkSword, mas aumenta a dificuldade para o atacante.

Revise quais aplicativos de exchange e carteira estão autenticados em seu dispositivo. Revogue sessões ativas que você não reconhece. Ative a lista de endereços de saque em exchanges que suportam esse recurso, para que mesmo um token de sessão comprometido não redirecione fundos para uma carteira controlada pelo atacante.

A avaliação do GTIG foi direta sobre a tendência mais ampla: “O uso de DarkSword e Coruna por uma variedade de atores demonstra o risco contínuo de proliferação de exploits entre atores de diferentes regiões e motivações.” Juntamente com uma cadeia de exploração mais antiga chamada Coruna, pesquisadores estimam que centenas de milhões de dispositivos não atualizados entre iOS 13 e 18.6.2 permanecem em risco.

A janela para ação é agora. Dispositivos rodando versões desatualizadas do iOS não são apenas vulneráveis em teoria; estão sendo ativamente atacados por pelo menos três grupos distintos com campanhas confirmadas em quatro países.