SlowMist 发布威胁情报，分析 DarkSword 木马后门及 iOS 攻击链。其称，2026 年 3 月 DarkSword 相关漏洞利用代码公开后，7 月 GitHub 出现 DarkSword-PROV2，攻击基础设施于 9 月底被发现在线运营。该工具链整合了漏洞利用投递、设备与数据收集、数据外泄及加密钱包资金归集；代码分析识别出两个有效利用窗口（iOS 18.6–18.7.2 和 iOS 26.0–26.1），而非其宣称的 iOS 13 及更高版本。SlowMist 建议保持系统更新，并指出若设备访问过可疑落地页，应将助记词和私钥视为潜在泄露。

🔥所有用户请及时更新iOS 系统 DarkSword 攻击程序已经泄漏，其核心能力为：通过 HTTP 接口从 iOS 设备中提取取证级数据。 在实际攻击中，攻击者可结合社工或水坑攻击诱导用户中招，进而窃取 iPhone / iPad 内数据，并上传至攻击者控制的服务器。

吴说获悉，据慢雾安全团队披露，其发现一项伪装成免费 VPS 服务的攻击活动，相关页面会针对运行 iOS 18.4–18.6.2 的 iPhone Safari，利用 DarkSword 六漏洞链发起多阶段攻击，包括 WebKit RCE、沙箱逃逸及内核读写。攻击成功后可收集 App 容器文件、钥匙串数据，并在 imToken、TokenPocket 或 TronLink 位于前台时记录键盘输入。慢雾称，这 6 个漏洞目前均已被 Apple 修复，当前攻击属于 n-day 漏洞链重用；仅访问相关页面并不能证明助记词或私钥已被窃取，仍需设备取证确认。建议用户升级至 iOS / iPadOS 18.7.3 或 26.3 及以上版本。

苹果发布 iOS 26.7.1 版修复图形组件高危漏洞，该漏洞已经被黑客用于展开攻击，但是否与近期币圈发生的攻击有关还无法确认。 CVE-2026-86950 位于 CoreGraphics 组件中，涉及图像、界面和其他视觉内容渲染。 近期有恶意应用针对币圈用户发起攻击，因此有人将该漏洞与币圈攻击联系起来，不过从已知情况来看币圈发生的攻击主要应该还是 DarkSword 攻击链，可能与最新修复的漏洞无关。 查看全文：

吴说获悉，慢雾安全首席信息安全官 23pds 发出安全预警，呼吁 iOS 用户抓紧升级系统。他指出，黑灰产目前已实现利用全链利用链从 iOS 设备中盗取私钥与助记词。整个攻击路径包括：通过社工或水坑攻击诱导用户在 Safari 中访问恶意网页，利用 WebKit/JavaScriptCore（JSC）内存破坏获取 JS 层读写权限，随后绕过指针认证码（PAC）防御取得原生调用能力，逃逸 WebContent 沙箱并实现内核提权获取 root 权限，从而窃取 Keychain（钥匙串）及加密钱包应用数据。该攻击源于此前泄露的“DarkSword”iOS 全链漏洞利用套件，由于材料外泄已被黑灰产复用，严重威胁移动端自托管钱包安全。