Novo kit de invasão para iPhone rouba carteiras de criptomoedas e já capturou 11 frases de recuperação de vítimas

Uma nova versão de um kit de invasão para iPhone passou a roubar dados de carteiras de criptomoedas e do chaveiro do aparelho, segundo a empresa de segurança móvel iVerify. A variante foi batizada de P7 DarkSword.

O ponto que interessa a quem vive no Brasil: os ataques registrados até agora miraram países específicos, mas o kit se aproveita de falhas do iOS, o sistema do iPhone usado no mundo todo, inclusive aqui. Entre os alvos estão mais de 25 aplicativos de carteiras digitais, categoria popular entre investidores brasileiros.

A boa notícia é que as brechas exploradas já foram fechadas pela Apple em atualizações anteriores. Manter o iPhone atualizado reduz de forma direta o risco de ser atingido.

O que o P7 DarkSword faz no aparelho

A nova funcionalidade é a parte mais perigosa. Além de abrir a porta no sistema, o P7 DarkSword passou a extrair informações sensíveis e a manter comunicação nos dois sentidos com os servidores do atacante, recebendo comandos de forma remota.

Depois de instalado, o programa espião consulta o servidor de controle a cada 15 segundos e vasculha áreas como:

• o iCloud Keychain, onde ficam senhas e chaves guardadas
• o aplicativo Apple Notes
• as Fotos do dispositivo
• as carteiras de criptomoedas instaladas

Esse tipo de coleta silenciosa é o que explica o foco em quem movimenta ativos digitais. Golpes parecidos já apareceram em outros sistemas, como no caso do malware para Mac que se disfarçava de carteira de criptomoeda.

O kit original do DarkSword foi descrito publicamente em março de 2026 e atinge iPhones com versões do iOS entre 18.4 e 18.7. As primeiras campanhas foram detectadas desde novembro de 2025.

Falhas corrigidas e a importância de atualizar

A análise de um servidor usado na operação revelou duas vulnerabilidades que ainda não eram conhecidas, ambas já corrigidas pela Apple:

• CVE-2025-24201, no mecanismo WebKit, fechada no iOS 18.3.2
• CVE-2025-31200, no componente Core Audio, fechada no iOS 18.4.1

Por isso a recomendação prática é simples e vale para qualquer usuário de iPhone: instale as atualizações assim que elas ficarem disponíveis. Quem está em uma versão antiga do sistema continua vulnerável a falhas que já têm correção pronta.

Sites falsos de criptomoeda como isca

As campanhas documentadas usam truques diferentes para empurrar o kit às vítimas. Uma delas reaproveitou um domínio que pertencia a uma antiga startup de análise de comércio eletrônico. O endereço ecomtrack[.]io foi registrado de novo em 15 de setembro de 2026 e passou a distribuir o código malicioso por meio de etiquetas de rastreamento que ainda estavam ativas em lojas online.

Outra rota leva a um site falso de negociação de criptomoedas, o endereço chainmate[.]top, que entrega escondido a sequência de exploração do DarkSword enquanto finge ser uma plataforma de investimento.

O conselho que vale repetir: desconfie de links de plataformas de investimento em criptomoedas recebidos por mensagem ou anúncio. É o mesmo cuidado que serve para proteger contas e perfis em outros serviços, como ensinamos no guia sobre manter seu canal no YouTube seguro.

Estrago já medido

A empresa Censys mapeou cinco servidores ligados ao DarkSword e a um kit companheiro chamado Coruna. Uma cópia de um dos servidores de produção mostrou o tamanho do dano real.

Nela foram encontrados:

• 11 frases de recuperação de carteiras de vítimas reais
• 179 diretórios com dados de vítimas
• 75 contas de controle da operação

A frase de recuperação é a chave que dá acesso total a uma carteira digital. Quem a captura pode esvaziar os fundos sem precisar de mais nada.

Segundo o levantamento, parte da operação teria ligação com um ator de língua chinesa, com infraestrutura hospedada em serviços da Tencent e na cidade de Shenyang.

De arma de espionagem a ferramenta de golpe

O DarkSword nasceu como produto comercial de vigilância. Ele já foi usado em ataques direcionados contra Arábia Saudita, Turquia, Malásia e Ucrânia, empregado por grupos distintos, entre eles um fornecedor turco de software de espionagem e o ator russo conhecido como Star Blizzard.

O problema é que o kit vazou. Desde o fim de 2025, ele passou a ser usado também por quadrilhas com motivação puramente financeira, e foi aí que entrou o roubo de criptomoedas.

Até o momento não há registro divulgado de vítimas no Brasil, e também não existe número total de aparelhos infectados no mundo, apenas os dados parciais tirados dos servidores analisados. Ainda assim, como o alvo são falhas de um sistema global e carteiras de uso comum, a precaução vale para qualquer pessoa com iPhone: atualize o sistema e evite plataformas de investimento desconhecidas.