SlowMist, una empresa de ciberseguridad, ha identificado un exploit de Safari para iPhone que podría exponer las claves privadas y las frases de inicio de las carteras de criptomonedas, aunque aún no ha confirmado robos exitosos relacionados con el ataque. La amenaza implica páginas maliciosas diseñadas para vulnerar dispositivos que ejecutan versiones de iOS desde 13 a 26.5, aunque la evidencia más reciente apunta a versiones 18.4 a 18.6.2. La compañía advierte de que el rango más amplio de versiones afectadas, que abarca desde iOS 13 a 26.5, sigue siendo preliminar y se basa en un análisis técnico en lugar de confirmación de vulnerabilidades en las víctimas. «Preferimos evitar afirmar que iOS 26.5 está afectado hasta que exista evidencia técnica reproducible», informa SlowMist, enfatizando la necesidad de actuar con precaución en sus hallazgos.
El ataque reutiliza técnicas de la cadena de exploits de DarkSword revelada anteriormente, que fue dada a conocer por primera vez por el Grupo de Inteligencia de Amenazas de Google en marzo de 2025. DarkSword había sido explotado por múltiples actores de amenazas desde noviembre de 2025, y el equipo MistEye de SlowMist identificó actividad relevante ya en mayo de 2025. La campaña más reciente, denominada WYINCC, incluía una página web maliciosa que publicitaba un servicio gratuito de servidor privado virtual (VPS). Al abrir la página mediante Safari, se iniciaba el exploit sin necesidad de ninguna interacción adicional del usuario, pese a que Apple ya había parcheado las vulnerabilidades subyacentes.
El análisis de SlowMist reveló que la muestra maliciosa estaba dirigida a Keychain de Apple para recuperar y descifrar la información almacenada, incluidos los datos de las aplicaciones de billetera criptográfica. Aunque el exploit demostró la capacidad de acceder a tales datos, la empresa observó que no ejecutó la cadena completa en un dispositivo real para confirmar que la extracción fue exitosa en todos los casos. «No ejecutamos la cadena completa en un dispositivo real víctima, por lo que no podemos identificar a una víctima específica cuyo dispositivo hayamos confirmado de forma independiente que fue comprometido con éxito por esta muestra concreta», explica la empresa.
En ausencia de hurtos confirmados, SlowMist aconsejó a los usuarios de iPhone que instalasen las últimas actualizaciones de seguridad de iOS y que se abstuviesen de hacer clic en enlaces sospechosos. Para aquellos que no pudieron actualizar de inmediato o que se enfrentaban a riesgos más elevados, la empresa recomendó activar el modo de bloqueo de Apple, aunque advirtió de que esta funcionalidad no había sido probada contra este ataque específico. Se aconseja a los usuarios que sospechen que sus claves de billetera o frases de semillas podrían haber sido comprometidas que transfieran sus activos a una billetera generada recientemente en un dispositivo limpio, en lugar de seguir utilizando credenciales potencialmente comprometidas.
El exploit aprovecha técnicas de DarkSword, una cadena de exploits de iOS previamente conocida, pero funciona de forma independiente de otra investigación de SlowMist relacionada con componentes maliciosos incorporados en una aplicación de la App Store llamada FomoPeek. Aunque Apple ya había parcheado las vulnerabilidades de DarkSword, la persistencia de la campaña de Safari subraya la necesidad continua de vigilancia entre los usuarios de criptografía.
