Google ha rivelato la catena di exploit DarkSword per iOS, un attacco sofisticato a più stadi attivo dalla fine del 2025 che compromette silenziosamente gli iPhone — rappresentando una minaccia diretta per gli utenti crypto che conservano chiavi e app wallet sui loro dispositivi.

Google ha rivelato una sofisticata catena di exploit iOS chiamata DarkSword, utilizzata attivamente dalla fine del 2025 per compromettere silenziosamente gli iPhone, mettendo a rischio circa 270 milioni di dispositivi e sollevando preoccupazioni urgenti per gli utenti crypto che conservano wallet, seed phrase e credenziali di exchange sui loro telefoni.

Il Google Threat Intelligence Group (GTIG) ha pubblicato le proprie scoperte il 18 marzo 2026, identificando DarkSword come una catena di exploit iOS capace di prendere il controllo completo del dispositivo. La ricerca è stata condotta in collaborazione con le aziende di sicurezza mobile Lookout e iVerify.

Una “catena di exploit” significa che gli attaccanti collegano una serie di vulnerabilità separate in sequenza, ognuna di esse permette di avanzare allo stadio successivo, fino a concedere il totale controllo del dispositivo bersaglio. DarkSword prende di mira le versioni iOS 18.4–18.7 e utilizza puro JavaScript per tutte le fasi dell’attacco.

Sei Vulnerabilità, Tre Zero-day, Tre Gruppi di Minaccia

DarkSword combina in totale sei vulnerabilità: tre zero-day, sconosciute ad Apple al momento dello sfruttamento, e tre falle già corrette in precedenza, ma ancora efficaci contro dispositivi non aggiornati. Le zero-day includono CVE-2026-20700, un bypass PAC in dyld; CVE-2025-43529, un difetto di corruzione della memoria in JavaScriptCore; e CVE-2025-14174.

GTIG ha confermato tre distinti gruppi di attori minacciosi che hanno utilizzato la catena di exploit. UNC6353, sospettato gruppo di spionaggio russo mirato all’Ucraina; UNC6748, il quale ha preso di mira l’Arabia Saudita usando un sito decoy a tema Snapchat; e PARS Defense, venditore turco di sorveglianza commerciale i cui clienti hanno distribuito DarkSword fino a gennaio 2026 in Malaysia.

Una volta compromesso il dispositivo, DarkSword installa tre famiglie di malware: GHOSTBLADE, GHOSTKNIFE e GHOSTSABER. In particolare GHOSTKNIFE raccoglie account connessi, messaggi, dati del browser, cronologia della posizione, screenshot e audio del microfono. L’attacco avviene in silenzio, senza sintomi visibili per l’utente.

Perché gli utenti crypto su iPhone affrontano rischi elevati

Il toolkit post-exploit di DarkSword rappresenta lo scenario peggiore per chi detiene asset crypto su iPhone. La capacità di GHOSTKNIFE di raccogliere account connessi, dati del browser e delle app significa che sessioni di exchange, credenziali di wallet e codici di autenticazione sono tutti accessibili per un attaccante.

Seed phrase conservate nell’app Note, in iCloud Keychain, o in gestori di password di terze parti su un dispositivo compromesso risultano effettivamente esposte. Popolari wallet mobili come MetaMask Mobile, Trust Wallet, Coinbase Wallet ed Exodus funzionano tutti all’interno del sandbox delle app iOS, che una catena di exploit come DarkSword aggira totalmente.

L’exploit adotta quello che i ricercatori di Lookout hanno descritto come un approccio “hit-and-run”, raccogliendo ed esfiltrando dati in pochi secondi o minuti prima di ripulire tutto. Un utente potrebbe non accorgersi mai che il dispositivo è stato compromesso, mentre le chiavi del wallet e i token di sessione exchange sono già stati sottratti.

Precedenti catene zero-day iOS come FORCEDENTRY e Operation Triangulation sono state usate principalmente per spionaggio mirato contro individui specifici. DarkSword è diverso. GTIG lo ha descritto come “ampiamente usato”, e i ricercatori di Lookout avvertono che la sua proliferazione in diversi gruppi indica un mercato di seconda mano, dove attaccanti meno sofisticati possono acquisire exploit di alto livello.

Matthias Frielingsdorf, co-fondatore di iVerify, ha sottolineato una ragione per tale proliferazione: “Gli hacker russi hanno lasciato negligentemente l’intero codice esposto sui loro siti, cosicché chiunque abbia recuperato manualmente tutte le diverse parti dell’exploit potrebbe caricarle sul proprio server web e iniziare a infettare telefoni.”

Damon McCoy, professore presso il Centro per la Cyber Sicurezza della NYU, ha aggiunto: “Questa è una minaccia davvero significativa. Ci sono ancora probabilmente molte persone che utilizzano questa versione obsoleta di iOS, e queste persone sono particolarmente vulnerabili.”

Patch immediato, sposta le chiavi fuori dal telefono

Apple ha corretto tutte e sei le vulnerabilità DarkSword. iOS 26.3 risolve l’intera catena di exploit, e la maggior parte delle singole falle sono state sistemate negli aggiornamenti precedenti. GTIG ha segnalato le vulnerabilità ad Apple alla fine del 2025, e i domini di consegna associati a DarkSword sono stati aggiunti a Google Safe Browsing.

Azione immediata: aggiorna il tuo iPhone alla versione iOS più recente. Qualsiasi dispositivo che ancora esegue iOS dalla versione 18.4 alla 18.7 rimane vulnerabile alla catena completa di exploit.

Per chi detiene crypto, l’aggiornamento di iOS è necessario ma non sufficiente. Il principio fondamentale è semplice: non affidare grandi quantità di asset alla sicurezza di un dispositivo consumer connesso alla rete. Trasferisci saldi significativi su un hardware wallet. Non conservare seed phrase nelle Note dell’iPhone, iCloud o su qualsiasi app presente su un telefono connesso a Internet.

Gli utenti che non possono migrare immediatamente gli asset dovrebbero abilitare la Modalità Lockdown di iOS, che limita la superficie d’attacco disabilitando alcune funzionalità comunemente sfruttate, tra cui il processo JavaScript in certi contesti. Non è una garanzia contro una catena tanto sofisticata quanto DarkSword, ma alza il livello di difficoltà.

Controlla quali app di exchange e wallet sono connesse sul tuo dispositivo. Revoca le sessioni attive che non riconosci. Abilita la whitelist degli indirizzi di prelievo sugli exchange che la supportano, così anche un token di sessione compromesso non può inviare fondi a un wallet controllato dall’attaccante.

La valutazione di GTIG è stata diretta riguardo la tendenza generale: “L’uso sia di DarkSword che di Coruna da parte di diversi attori dimostra il rischio continuo di proliferazione degli exploit fra attori di varie aree geografiche e motivazioni.” In combinazione con una precedente catena di exploit chiamata Coruna, i ricercatori stimano che centinaia di milioni di dispositivi non aggiornati da iOS 13 a 18.6.2 siano ancora a rischio.

Il momento per agire è ora. I dispositivi con versioni obsolete di iOS non sono solo teoricamente vulnerabili; sono attivamente presi di mira da almeno tre gruppi distinti con campagne confermate in quattro paesi.