Eine Sicherheitsfirma namens SlowMist hat eine gründliche technische Untersuchung einer Safari-Exploit-Kette veröffentlicht, die es Angreifern ermöglichen könnte, Krypto-Private-Keys und Seed-Phrasen von iPhones zu entwenden. Der Bericht bestätigt nicht, dass eine einzelne Person als Folge davon Gelder verloren hat. Die Ergebnisse werfen ernsthafte Fragen nach der Vertrauenswürdigkeit von Sicherheitshinweisen auf, die online kursieren.
Diese Warnung kommt nach mehreren Veröffentlichungen, die diese Woche vor potenziell bösartigen Safari-Seiten warnten, die Krypto-Private-Keys und Seed-Phrasen auf iOS-Geräten preisgeben könnten. Nun hat SlowMist seine eigene Untersuchung veröffentlicht, obwohl sein überzeugendster Nachweis nur für einen begrenzten Bereich von iOS-Versionen gilt.
Die WYINCC-Kampagne
Die SlowMist-Forscher konzentrierten sich auf eine Website, die einen kostenlosen Virtual-Private-Server-Dienst anbietet, der heimlich Code enthielt, der dazu bestimmt war, eine Schwachstelle in Safari auf iPhones auszunutzen. Der Exploit-Code wurde einfach durch das Öffnen der Seite ausgeführt und benötigte nicht immer einen zweiten Tipp von der Person, die die Seite ansah.
Die Stichprobe verwendete Techniken aus einer bereits offengelegten DarkSword-Exploit-Kette. SlowMist sagte, MistEye, ein Threat-Intelligence-Team unter der Leitung seines Chief Information Security Officers, 23pds, habe die betreffende Aktivität Anfang Mai zuerst identifiziert.
SlowMist veröffentlichte seine Ergebnisse am 4. September.
Was der Code konnte
Die bösartige Safari-Stichprobe enthielt einen Teil, der darauf ausgelegt war, Zugang zu Apples Keychain zu erhalten. Dieser Teil war in der Lage, Daten auszulesen und zu lesen, die darin gespeichert waren, einschließlich Daten aus Krypto-Wallet-Apps.
Die Software war auch in der Lage, auf App-Dateien und gemeinsam genutzte App-Daten zuzugreifen. SlowMist wies darauf hin, dass die Stichprobe die Datenerfassungskraft und die beabsichtigten Ziele zeigte, obwohl nicht bestätigt werden konnte, dass Gelder erfolgreich aus jedem angegriffenen Wallet entfernt wurden.
„Wir haben die vollständige Kette nicht auf einem echten Gerät eines Opfers ausgeführt, daher können wir keinen bestimmten Opfer identifizieren, dessen Gerät wir unabhängig bestätigt haben, wurde von genau dieser Stichprobe erfolgreich kompromittiert“, sagte SlowMist.
Die iOS 26.5 Frage
Eine Abfolge von Angriffen zielte auf Versionen von iOS von 18.4 bis 18.6.2 ab und stützte sich auf Fehler, die Apple bereits behoben hatte. Ob es auch unter iOS 26.5 funktioniert, wurde noch nicht bestätigt.
Cointelegraph wurde von SlowMist mitgeteilt, dass es nicht unabhängig bestätigt hat, dass ein einzelnes Opfer dem spezifischen Safari-Angriffsmuster zum Opfer gefallen ist, das es untersucht hat. Das Unternehmen wies auch darauf hin, dass der in anderen Berichten genannte Bereich „iOS 13 bis 26.5“ als vorläufig betrachtet werden sollte.
„Wir bevorzugen es daher, nicht zu behaupten, dass iOS 26.5 betroffen ist, bevor es reproduzierbare technische Beweise dafür gibt“, hieß es.
Verwandte Forschung
Die Google Threat Intelligence Group (GTIG) machte die DarkSword-Exploit-Kette erstmals im März bekannt. Die Gruppe gab an, dass es sich um eine iOS-Exploit-Kette handelt, die von mehreren Bedrohungsakteuren seit mindestens November 2025 eingesetzt wird.
Empfehlungen von SlowMist
SlowMist forderte iPhone-Nutzer auf, die neuesten iOS-Sicherheitsupdates für ihre Geräte zu installieren und sich von fragwürdigen Links fernzuhalten, trotz der Einschränkungen dessen, was bekannt ist.
SlowMist riet Nutzern, die nicht sofort aktualisieren können oder ein erhöhtes Risiko haben, Apples Lockdown-Modus als zusätzlichen Schutz in Betracht zu ziehen. Das Unternehmen warnte jedoch, dass es noch nicht bestätigt hat, dass dieses Feature den spezifischen Safari-Angriff vollständig blockiert.
SlowMist ermutigte Personen, die glauben, dass sie möglicherweise einen Wallet-Schlüssel oder eine Seed-Phrase offengelegt haben, ihre Gelder auf eine neue Wallet zu verschieben, die auf einem sauberen Gerät erstellt wurde, anstatt möglicherweise kompromittierte Anmeldedaten aufzubewahren.
Die wichtigsten Lücken
Das Hauptproblem bei SlowMists Untersuchung ist das Fehlen einer bestätigten Person, die einen Verlust erlitten hat. Das Unternehmen hat nicht unabhängig festgestellt, dass eine einzelne Person aufgrund dieses spezifischen Safari-Angriffsmusters Kryptowährungsanlagen verloren hat.
Das Dokument beschreibt die technischen Fähigkeiten der Exploit-Kette detailliert, verzichtet jedoch auf Aussagen über gestohlene Daten. Diese Lücke zwischen Beschreibung und Bestätigung ist zu berücksichtigen, wenn man Online-Sicherheitswarnungen abwägt.
Es gibt keine bestätigten Informationen, die die Warnung über iOS 26.5 belegen. SlowMist hält den angegebenen Bereich nur für vorläufig, bis reproduzierbare technische Beweise vorliegen.
Das umfassendere Bild )
Das Tempo der Sicherheitsforschung bedeutet, dass Ergebnisse häufig in rasendem Tempo online gehen, manchmal bevor das vollständige Bild entstanden ist. Eine technische Analyse kann zur Schlagzeile werden, bevor die ganze Geschichte bekannt ist.
Die Tatsache, dass SlowMist seine Ergebnisse veröffentlicht, ohne zu behaupten, einen Dieb mit der Hand am Werk erwischt zu haben, ist aussagekräftig.
Der Rat ist vernünftig, selbst ohne einen bestätigten Verstoß:
- Installieren Sie die neuesten iOS-Sicherheitsupdates
- Vermeiden Sie verdächtige Links
- Erwägen Sie den Lockdown-Modus bei erhöhtem Risiko
- Verschieben Sie Assets in eine neue Wallet auf einem sauberen Gerät, wenn ein Schlüssel oder eine Seed-Phrase möglicherweise offengelegt wurde
GTIG berichtet, dass sich seit November 2025 mehrere Bedrohungsakteure der DarkSword-Kette zugewandt haben, wodurch das Netzwerk erneut ins Rampenlicht gerückt ist.
Was das für Nutzer bedeutet
Das Ergebnis ist eindeutig: Stellen Sie sicher, dass Ihre Software auf dem neuesten Stand ist. Der Angriff basiert auf behobenen Schwachstellen, also gibt es bereits eine Lösung – es bleibt nur noch, diese anzuwenden.
Seien Sie vorsichtig beim Anklicken von Links. Nicht vertrauenswürdige Seiten können Angriffe ausliefern, und bösartige Webseiten gehören zu den häufigsten Quellen solcher Bedrohungen.
Wenn ein Gerät übernommen zu sein scheint, ist es am besten, von vorne zu beginnen. Erstellen Sie eine neue Wallet auf einem nicht infizierten Gerät und verschieben Sie Ihre Gelder dorthin.
Die SlowMist-Studie zeigt den vollständigen Umfang dessen, was der Angriff hätte bewirken können, obwohl unklar bleibt, ob überhaupt Opfer in die Falle geraten sind.
Es gibt berechtigten Grund zur Besorgnis, doch es wurden keine Beweise vorgelegt. Der Angriff ist dokumentiert, seine Betroffene jedoch bleiben namenlos.
Quelle: “SlowMist hat den Diebstahl von Kryptowährungen bei der iPhone Safari-Attacke noch nicht bestätigt,” Cointelegraph.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.