1500 个钓鱼站点背后：DarkSword 把 iPhone 本身变成了盗币入口

图 1｜封面｜「1500 个钓鱼站点背后：DarkSword 把 iPhone 变成了盗币入口」，右下角标注 20:00 档排期（1600×900）

10 月 24 日，慢雾创始人余弦连发两条提醒，指向同一件事：一个叫 DarkSword 的木马，正在定点攻击 iPhone 上的加密用户。第一条讲手法——利用 iOS 相关漏洞突破沙盒，窃取 Keychain 里的各类密码，以及钱包本地私钥文件、备忘录这类敏感信息；第二条讲规模——慢雾旗下 MistEye 威胁情报系统通过全网威胁狩猎，发现已部署的 DarkSword 相关钓鱼站点超过 1500 个。

两条提醒合起来是一幅很具体的图：攻击者不再只盯着交易所的服务器，而是把入口挪到了用户口袋里的那台手机。

一、定点、破沙盒、拿私钥

先说被点名的到底是什么。「定点攻击、定点盗币」是余弦提醒里的原话——不是广撒网捞一批设备，而是针对特定人群，目标明确指向钱包资产。

技术路径上，攻击者利用 iOS 相关漏洞突破沙盒。沙盒是 iOS 隔离应用的机制：每个 App 只能在自己的空间里读写数据，正常情况下碰不到别家的东西。一旦被突破，攻击面就扩到整台设备——Keychain 里存的各类密码、钱包 App 落地在本地的私钥文件、备忘录里随手记下的东西，都在这条路径上。

Keychain 是苹果系统级的密码保管服务。不少钱包 App 会把凭证和解锁信息放在这里，用户平时感觉不到它的存在，但它一旦被读走，等于保险箱的钥匙交了出去。

余弦同时提醒，要警惕已安装的部分 App 被投毒。这句话的分量不比漏洞轻：用户主动装进来的应用天然享有更高的信任，如果其中某个版本被植入木马，防线是从内部破的。

把这三样连起来看，攻击目标其实很集中：Keychain 里有密码，本地文件里有私钥，备忘录里有助记词。这三处恰好是普通人最自觉「安全」的地方——放在自己手机上，不交给任何人。

二、从 3 月的泄露代码，到 9 月的在线基础设施

DarkSword 不是这几天才冒出来的东西。慢雾 10 月 19 日发布的报告，把它的来路拆得比较清楚：2026 年 3 月，首批 DarkSword 相关文件出现在 GitHub 上，随后几天又出现多个含漏洞利用代码的仓库；同月 25 日，慢雾的安全负责人公开警告这批工具已经泄露。

到 7 月，一个更完整的版本以 DarkSword-PROV2 的名字出现在 GitHub，除了漏洞利用链，还带管理面板、服务器和数据库。9 月下旬，与之配套的攻击基础设施被观测到已经在线运行，相关域名每天更换 DNS 设置，用来躲避检测。

报告里最值得记住的一句判断是：公开的漏洞组件已经被武器化，整合进了可直接部署的攻击框架。翻译过来就是，发起一次复杂的 iOS 攻击，门槛被大幅拉低了——不需要自己写漏洞利用，拿来就能用。

报告还给出一个具体范围：工具包宣称支持 iOS 13 及以上，但代码分析显示，真正有效的攻击窗口集中在 iOS 18.6 至 18.7.2，以及 iOS 26.0 至 26.1 两个区间。这意味着大部分设备并不在有效射程内，但停留在旧版本上的用户，风险是实打实的。

还有一点常被忽略：报告说，仅在 Safari 里打开一个恶意页面，就可能触发漏洞。不需要下载 App，不需要点「允许」，也不需要输入任何东西。

从时间跨度上看，这条链走完用了不到七个月：3 月代码公开，7 月成品框架上架，9 月基础设施上线，10 月覆盖到 1500 个站点。比起漏洞本身，这个节奏更值得记住。

图 2｜数据图｜1500+ 个相关钓鱼站点与六类覆盖业务，下方标注报告所述有效攻击窗口（1600×900）

三、1500 个站点，和攻击面的位移

第二条提醒把规模摊开了。MistEye 的全网狩猎发现，与 DarkSword 相关的钓鱼站点已超过 1500 个，覆盖电商、仿冒币安、仿冒 OKX、虚假加密钱包、游戏以及加密货币兑换等业务。

把这份清单按类别读，能看出投放逻辑：仿冒交易所和假钱包负责直接钓资产；电商、游戏这类与币圈无关的站点，负责把人引到落地页——钓鱼链的第一跳，往往不需要跟加密有任何关系。站点数量以千计，说明这套东西已经进入批量生产阶段，而不是某个团伙手工维护几十个域名。

这也是「攻击面位移」的具体样子。过去几年，行业把大量资源压在交易所的冷钱包、私钥分片和多签上，服务器侧的门越焊越厚；而当攻击者把入口换成用户在手机上随手点开的链接时，前面那些防线一点都用不上。设备端安全长期是加密行业最薄的一环：用户每天在用，却很少被当成需要防护的基础设施。

清单里混着电商和游戏这类与加密无关的站点，也说明投放逻辑：钓鱼的第一跳不需要精准，把人引到落地页就够了。

换句话说是防御资源分配的问题——钱大多花在了链上和服务端，而用户每天握在手里的那台设备，很少被当成同等重要的资产。

图 3｜时间轴｜2026-03 代码公开 → 03-25 公开警告 → 07 出现 PROV2 → 09 月下旬基础设施上线 → 10-24 站点超 1500 个（1600×900）

四、现在能做的五件事

按慢雾给出的建议，顺序其实很清楚。第一，把 iPhone、iPad 的系统更新到最新，这不是客套话，实际攻击窗口就集中在几个具体版本上，更新是成本最低的一步。

第二，不点不可信链接，尤其是私信、群聊和搜索广告里推过来的「官方活动」「空投领取」页面。报告明确说，只在 Safari 打开恶意页面就可能中招。

第三，如果设备访问过可疑落地页，直接按「助记词和私钥已泄露」处理。做法是用一台从未访问过该页面的干净设备新建钱包，把资产迁过去，而不是在原机上改密码、换 App。

第四，全面检查各链上的异常交易和代币授权，把不必要的授权撤销。第五，回头看一眼手机上装的应用，来路不明的、非官方渠道的，先清掉——余弦提醒里的「App 被投毒」，说的就是这条。

慢雾的表述是「直接视为已泄露」：这种情况下，在原机上换密码、重装 App 都不解决问题，资产要迁到干净设备上新建的钱包里去。

结尾

这类提醒看多了容易麻木，但这次的数字值得停一下：1500 多个站点，围绕的是一个已经成品化、自动化、能自己归集资金的攻击框架。它不需要用户犯什么大错，只需要一次点击。对持仓的人来说，最划算的动作永远是那两个——把系统更到最新，把助记词从手机里拿出来，放到不联网的地方。