导语：安全公司 SlowMist 表示，尚未独立确认与其分析的特定 iPhone Safari 攻击样本相关的加密货币盗窃案件，但鉴于恶意 Safari 页面可能暴露加密钱包私钥和助记词，仍建议 iPhone 用户立即更新 iOS，并避免点击可疑链接。
确认证据仍然有限
SlowMist 向 Cointelegraph 表示，其最强技术证据覆盖 iOS 18.4 至 18.6.2。此前部分报告称，受影响范围可能从 iOS 13 延伸至 iOS 26.5，SlowMist 认为这一较宽范围应被视为初步信息。该公司表示，在没有可复现技术证据前，不愿直接断言 iOS 26.5 受到影响。
SlowMist 称，尚未独立确认有受害者因其分析的具体 Safari 攻击样本而失窃。该公司补充说，未在真实受害者设备上执行完整攻击链，因此无法确认某一具体受害者的设备是否被该确切样本成功入侵。
攻击手法与活动背景
该 Safari 攻击复用了此前披露的 DarkSword 漏洞利用链技术，并与 SlowMist 另一项调查 FomoPeek 不同。FomoPeek 涉及嵌入 App Store 应用中的恶意组件。
Google Threat Intelligence Group 于 3 月披露 DarkSword，称其是至少自 2025 年 11 月以来被多个威胁行为者使用的 iOS 漏洞利用链。SlowMist 表示，由其首席信息安全官 23pds 领导的威胁情报团队 MistEye 在 5 月初首次发现相关活动。9 月 4 日，SlowMist 发布对 WYINCC Safari 活动的分析，识别出一个宣传免费虚拟专用服务器（VPS）服务的恶意网页。该页面在 iPhone 的 Safari 中打开时即加载漏洞利用代码，用户不一定需要再次点击。SlowMist 称，该利用链使用的漏洞已被 Apple 披露并修补。
Safari 攻击试图访问什么
SlowMist 发现，其分析的恶意 Safari 样本包含一个旨在访问 Apple Keychain（钥匙串），并读取和解密其中存储信息的组件。该代码还可访问应用文件和共享应用数据，可能暴露加密货币钱包应用存储的信息。SlowMist 强调，样本展示了收集能力和意图目标，但本身不能证明已从每个目标钱包成功提取数据。
更新 iOS 并保护钱包
尽管现有证据有限，SlowMist 仍建议 iPhone 用户安装设备可用的最新 iOS 安全更新，并避免可疑链接。对于无法立即更新或面临更高风险的用户，SlowMist 建议考虑启用 Apple 锁定模式（Lockdown Mode）作为额外防御，但提醒尚未确认该功能能完全阻止这一特定 Safari 攻击。
SlowMist 还敦促认为钱包密钥或助记词可能已暴露的用户，将资产转移到干净设备上新生成的钱包，而不是继续使用可能已泄露的凭证。