Una firma de seguridad llamada SlowMist ha publicado un exhaustivo análisis técnico de una cadena de explotación de Safari que podría permitir a los atacantes tomar claves privadas de criptomonedas y frases semilla de iPhones. El informe no confirma que ninguna persona haya tenido fondos robados como resultado. Los hallazgos plantean serias preguntas sobre la confiabilidad de las advertencias de seguridad que circulan en línea.
Esta advertencia llega después de que varias publicaciones advirtieran esta semana que páginas de Safari maliciosas podrían revelar claves privadas de criptomonedas y frases semilla en dispositivos iOS. Ahora SlowMist ha publicado su propio análisis, aunque su evidencia más convincente se aplica a un rango limitado de versiones de iOS.
La Campaña WYINCC
Los investigadores de SlowMist se enfocaron en un sitio web que ofrecía un servicio de servidor privado virtual gratuito, que secretamente incluía código diseñado para aprovechar una debilidad en Safari en iPhones. El código de explotación se ejecutaba simplemente al abrir la página y no siempre necesitaba una segunda pulsación de la persona que la veía.
La muestra reutilizó técnicas de una cadena de explotación DarkSword previamente divulgada. SlowMist dijo que MistEye, un equipo de inteligencia de amenazas liderado por su director de seguridad de la información, 23pds, identificó primero la actividad relevante a principios de mayo.
SlowMist publicó sus hallazgos el 4 de septiembre.
Lo Que Podía Hacer El Código
La muestra maliciosa de Safari venía con una parte diseñada para llegar a Apple’s Keychain. Esa parte fue capaz de extraer y leer información almacenada en su interior, incluyendo datos de aplicaciones de billeteras de criptomonedas.
El software era capaz de alcanzar archivos de aplicaciones y datos compartidos de aplicaciones también. SlowMist señaló que la muestra demostró el poder de recopilación y los objetivos previstos, aunque no confirmó la eliminación exitosa de cada billetera específica.
«No ejecutamos la cadena completa en un dispositivo de víctima real, por lo que no podemos identificar una víctima específica cuyo dispositivo confirmamos independientemente fue comprometido exitosamente por esta muestra exacta», dijo SlowMist.
La Pregunta De iOS 26.5
Una secuencia de ataques se dirigió a versiones de iOS desde 18.4 hasta 18.6.2, confiando en fallas que Apple ya había corregido. No se ha confirmado si también funciona contra iOS 26.5.
Cointelegraph fue informado por SlowMist de que no ha confirmado por sí mismo que ninguna víctima haya sido presa del ataque específico de Safari que examinó. La compañía también dijo que el rango «iOS 13 a 26.5» citado en otros informes debe tratarse como preliminar.
«Por lo tanto, preferimos evitar afirmar que iOS 26.5 está afectado hasta que haya evidencia técnica reproducible», dijo.
Investigación Relacionada
El Grupo de Inteligencia de Amenazas de Google (GTIG) reveló por primera vez la cadena de explotación DarkSword en marzo. El grupo dijo que es una cadena de explotación de iOS que ha sido empleada por varios actores de amenazas desde al menos noviembre de 2025.
Recomendaciones De SlowMist
SlowMist instó a los usuarios de iPhone a instalar las últimas actualizaciones de seguridad de iOS para sus dispositivos y a mantenerse alejados de enlaces dudosos, incluso con las limitaciones de lo que se sabe.
SlowMist aconsejó a los usuarios que no puedan actualizar inmediatamente o que tengan riesgos elevados a considerar la adopción del Modo de Bloqueo de Apple como protección adicional. La firma advirtió, sin embargo, que aún no ha confirmado que esta función bloquee por completo este ataque específico de Safari.
SlowMist animó a las personas que creen que podrían haber expuesto una clave de billetera o una frase semilla a mover sus fondos a una billetera nueva creada en un dispositivo limpio en lugar de aferrarse a detalles de inicio de sesión posiblemente comprometidos.
Las Deficiencias Clave
La principal deficiencia en el examen de SlowMist es la ausencia de una persona confirmada que haya sufrido una pérdida. La firma no ha establecido de forma independiente que ningún individuo haya renunciado a activos cripto debido a este ataque específico de Safari.
El documento expone en detalle las capacidades técnicas de la cadena de explotación, pero se abstiene de afirmar haber robado datos. Esa brecha entre descripción y confirmación es importante tenerla en cuenta al sopesar las advertencias de seguridad que se encuentran en línea.
No hay información confirmada que respalde la advertencia sobre iOS 26.5. SlowMist considera el rango declarado como preliminar únicamente, en espera de evidencia técnica reproducible.
El Panorama General (1)
El ritmo de la investigación de seguridad significa que los hallazgos frecuentemente se publican en línea a gran velocidad, a veces antes de que se haya presentado el panorama completo. Un análisis técnico puede convertirse en un titular antes de que se conozca toda la historia. (2)
El hecho de que SlowMist esté publicando sus hallazgos sin afirmar haber atrapado a un ladrón con las manos en la masa es revelador. (3)
El consejo es sensato incluso sin una brecha confirmada: (4)
- Instale las últimas actualizaciones de seguridad de iOS (5)
- Evite enlaces sospechosos (6)
- Considere el Modo Bloqueo para riesgos elevados (7)
- Mueva sus activos a una nueva billetera en un dispositivo limpio si una clave o frase semilla podría haber sido expuesta (8)
GTIG informa que varios actores de amenazas se han dirigido a la cadena DarkSword desde noviembre de 2025, poniendo la red nuevamente en el centro de atención. (9)
Lo Que Esto Significa para los Usuarios (10)
El resultado es sencillo: asegúrese de que su software se mantenga actualizado. El ataque se basa en fallas corregidas, por lo que ya existe una solución: todo lo que queda es ponerla en uso. (11)
Tenga cuidado al hacer clic en enlaces. Las páginas no confiables pueden entregar ataques, y las páginas web maliciosas son una de las fuentes más frecuentes de tales amenazas. (12)
Cuando un dispositivo parece haber sido comprometido, el mejor curso de acción es comenzar de nuevo. Cree una nueva billetera en una máquina no infectada y transfiera sus fondos a ella.
El estudio de SlowMist demuestra el alcance total de lo que el ataque podría haber logrado, aunque aún no está claro si alguna víctima cayó en la trampa.
Existe una razón genuina para preocuparse, pero no se ha presentado ninguna evidencia. El asalto está registrado, pero sus sujetos permanecen sin nombre.
Fuente: “SlowMist aún no ha confirmado el robo de criptomonedas del ataque a iPhone Safari”, Cointelegraph.
Recibe El Cuaderno.
Las mejores historias del día y cada veredicto nuevo, en español claro, en tu correo a las siete. Un correo al día, nada más.