CertiK 경고, DarkSword 키트가 6개 iOS 취약점으로 암호화폐 지갑 표적

서명 없이도 접히는 공격, CertiK가 경고

보안업체 CertiK는 11월 6일 X 경보에서 DarkSword 아이폰 익스플로잇 키트의 개선된 버전이 패치되지 않은 아이폰을 침해하고 기기에 저장된 암호화폐 지갑을 노출한다고 경고했다. 지갑 연결도, 거래 승인도 필요하지 않은 방식이다. 회사는 Apple의 Safari에서 악성 페이지를 열기만 해도 충분할 수 있다고 밝혔고, 키트가 표적하는 것으로 알려진 애플리케이션 명단에 MetaMask, Trust Wallet, Phantom, Exodus, Coinbase를 꼽았다. 기기의 다른 곳에 보관된 비밀번호와 복구 문구도 공격 범위에 들어간다. 이 경고는 3월 18일 보고서에서 Google 위협정보그룹이 확인한 익스플로잇 체인에 근거를 둔다. 해당 체인은 iOS 18.4부터 18.7까지에 영향을 주는 6개 취약점을 결합한 것이었다. Google은 침해 성공 후 배치된 GHOSTBLADE, GHOSTKNIFE, GHOSTSABER 등 3개 악성코드 계열을 확인했는데, 이들은 지갑 데이터, 기기 키체인, 메모 앱 데이터베이스, 브라우저 기록, 개인 미디어를 수거할 수 있다. 최소 2025년 11월까지 거슬러 올라가는 활동에서 사우디아라비아, 터키, 말레이시아, 우크라이나 사용자를 겨냥한 캠페인이 관측됐다. Apple은 iOS 26.3 릴리스까지 이 취약점들을 패치했고, 대부분의 수정은 그 이전에 배포됐다.

@CertiKAlert · X 게시물

X 경보.

X에서 보기

키트는 계속 진화하고 있다. 모바일 보안업체 iVerify는 10월 8일 보고서에서 P7 변종을 공개했다. 지난 8월 고객 기기에서 발견된 감염을 조사한 결과인데, 이 임플란트는 기본값으로 15초마다 명령 서버에 신호를 보내고, 전송 전에 휴대폰 안에서 키체인 데이터를 처리하며, 설치된 지갑 애플리케이션을 식별해 imToken 데이터를 추출하는 전용 명령을 갖고 있다. 별도로 iVerify와 Report URI의 10월 21일 조사는 배포 경로를 추적했다. 악성 광고가 핵심이었고, 월드컵을 소재로 한 인스타그램 광고가 피드를 넘기던 직원을 감염시킨 사례가 확인됐다. DeadTag라 불리는 캠페인은 재등록된 분석 도메인 수백 개를 기반으로 했고, 그 네트워크는 월 1억 3,500만 건의 방문을 끌어온 것으로 추산된다. 가짜 Polymarket 페이지는 DarkSword 변종 두 개를 띄워 취약한 기기가 페이지가 로드되는 순간 자동으로 감염되게 했다. CertiK는 큰 규모의 자산에는 하드웨어 지갑을, 위험도가 높은 사용자에게는 잠금 모드를 권고했다.

557만 달러 피해 확인, CZ는 업데이트 촉구

Binance 공동창업자 창펑 자오(Changpeng Zhao)는 금요일 자신의 X 계정에서 아이폰 사용자에게 운영체제를 즉시 업데이트하라고 공개 요청했다. 구버전을 그대로 쓰는 사람에게 그의 메시지는 냉정했다. 어떤 지갑 애플리케이션도 그 밑바닥의 시스템을 패치할 수 없으며, 자기 보관이 곧 사용자가 책임을 진다는 뜻이라는 것이다. 보안연구원 Officer's Notes의 추산에 따르면 이 취약점을 통해 이미 약 557만 달러 상당의 디지털 자산이 유출됐고, 피해는 악성코드를 호스팅한 18개가 넘는 웹사이트에 걸쳐 있었다. 같은 연구원은 키트가 온라인에서 약 3만 달러에 판매되고 있으며, 한 빌드가 imToken 지갑만을 겨냥한 전용 모듈을 실어 나른다고 보고했다. Apple은 이미 키트가 결합한 6개 취약점을 모두 패치했다. Officer's Notes는 DarkSword가 지원하는 마지막 버전을 iOS 18.6.2로 보는데, 위험이 수개월간 업데이트하지 않은 기기에 집중되는 이유다. 다만 키트 코드에는 iOS 26과 27에 대한 언급이 남아 있어, 개발자가 미래 시스템 버전용 익스플로잇을 준비 중임을 시사한다. 이번 사건은 고립돼 있지 않다. 9월 Apple은 특정 개인을 겨냥한 정교한 공격에서 악용됐을 수 있다고 인정한 CoreGraphics 그래픽 엔진 취약점을 수정했고, SlowMist와 OKX는 앞서 iOS에서 정상 권한을 넘어설 수 있는 악성코드를 FomoPeek 애플리케이션에서 발견한 바 있다. 연구원들의 실무 조언은 짧게 수렴한다. 설정의 일반, 소프트웨어 업데이트에서 최신 iOS를 설치할 것. 복구 문구를 메모 앱, 사진, 스크린샷에 절대 보관하지 말 것. 텔레그랩 그룹과 다이렉트 메시지로 돌아다니는 링크는 의심할 것. 이미 침해됐을 가능성이 있는 기기의 유일한 완전한 해법은 업데이트된 기기에서 새 지갑을 만들어 잔액을 옮기는 것이며, 기존 문구를 재사용하지 않는다. 이 과정은 침해된 지갑 복구 가이드에서 단계별로 다룬다.

@cz_binance · X 게시물

자신의 X 계정.

X에서 보기

구형 아이폰이 진짜 공격 표면

이 이야기의 핵심 문서는 CertiK 경보 자체다. 침해에 지갑 연결도 서명도 필요 없다고 명시하고 있어, 대부분의 자기 보관 교육이 전제해 온 승인 절차 습관이 무너진다. 유출 규모와 함께 읽으면 노출은 Apple이 iOS 26.3까지 배포한 패치보다 오래된 빌드를 돌리는 휴대폰에 집중된다. 이름이 거론된 다섯 애플리케이션 대부분은 기기가 읽을 수 있는 키를 보유한 핫월렛 형태의 폰 기반 지갑이다. 결국 앱 선택보다 강한 통제는 하드웨어 분리, 콜드 스토리지, 시드 문구 위생이다. 이는 모든 일반적인 암호화폐 지갑 유형에 걸쳐 동일하게 적용된다. 키트 안의 iOS 26과 27 언급은 이 익스플로잇 계열이 계속 진화할 의사가 있음을 보여준다.