Украинец заявил о краже $68 000 из Trust Wallet

Украинский пользователь рассказал, что 15 октября из его Trust Wallet ушло больше $68 000 в USDT, и винит шпионское ПО на iPhone с устаревшей версией iOS. Это его собственный рассказ: что именно забрало деньги, независимо никто не подтверждал.

Что такое DarkSword на самом деле

У названного им инструмента есть задокументированная история, и её стоит отделить от конкретного случая. В марте Threat Intelligence Group в Google описала DarkSword: шесть уязвимостей, связанных в цепочку против iPhone на iOS с 18.4 по 18.7, доставка через вредоносное веб-содержимое, без файла для скачивания и без приложения для установки.

“Жертве не нужно ничего скачивать или устанавливать. Достаточно открыть не ту страницу.”

— Threat Intelligence Group в Google, описание способа доставки DarkSword, март 2026 года

Более свежую часть 8 октября раскрыла компания iVerify. Компонент, названный P7, — это не новый способ проникновения, а то, что работает уже после взлома: одна функция ищет установленные кошельки, другая вытягивает данные, а имплант каждые 15 секунд запрашивает команды у сервера злоумышленника. Он же забирает Apple Keychain, заметки и галерею — ровно там люди и держат сид-фразы, если держат их вообще.

Дата, которая решает

Вот деталь, которая меняет прочтение всей истории. Apple закрыла цепочку в iOS 18.7.7 24 марта, широкий выпуск был 1 апреля. Кража датирована 15 октября — через 205 дней после выхода исправления. В нужный момент это была не уязвимость нулевого дня, а необновлённый телефон.

Атрибуция тоже слабее заголовка. В исследовании как цель функции извлечения назван imToken, а подтверждённых краж криптовалюты там не задокументировано ни одной. Сканер, который видит установленный Trust Wallet, — это не доказательство того, что он его опустошил, и единственный источник этой связи — сам потерявший деньги. Добавим и то, о чём в таких историях обычно молчат: некастодиальный кошелёк не возвращает средства по обращению в поддержку, потому что приватный ключ лежит только у владельца, и после перевода отменить его не может никто.

Один вопрос вслух никто не задаёт. Деньги ушли в USDT, а USDT можно заморозить: Tether заморозила $4,9 млрд за всю историю, около половины по запросам американских ведомств. Обращались ли за заморозкой в те часы, когда это решает дело, — разница между заявлением и возвратом, и в рассказе этого нет. Практический вывод старше самого эксплойта: обновлять телефон и держать фразу восстановления вне любого устройства с браузером, потому что вредонос читает заметки и фотографии раньше, чем добирается до кошелька. На прошлой неделе та же концовка пришла почтой, когда подменённые аппаратные кошельки сами отправляли сид-фразу наружу.

Материал информационный и не является инвестиционной рекомендацией: о потере рассказывает сам пострадавший, связь с конкретным набором эксплойтов независимо не подтверждена, а цифры ниже взяты из опубликованных исследований по безопасности.