Investigadores de seguridad han identificado una cepa de spyware para iPhone llamada P7 DarkSword que busca aplicaciones de monederos de criptomonedas y extrae datos relacionados con los monederos de dispositivos que ya han sido comprometidos. Según iVerify, este malware es una variante mejorada capaz de reconocer a los usuarios de monederos de criptomonedas y extraer información del monedero imToken. Utiliza los comandos wallet_scan y wallet_extract para buscar archivos de imToken cada 15 segundos, y se comunica con frecuencia con un servidor controlado por un atacante para que los operadores puedan enviar nuevas instrucciones sin volver a explotar el teléfono. Este diseño permite mantener una vigilancia continua y sigilosa después del compromiso inicial.
P7 DarkSword no se describe como una vulnerabilidad nueva y universal de iOS. Según los informes, es una herramienta que se utiliza después de que un iPhone ya ha sido vulnerado mediante una cadena de ataque más amplia de DarkSword, dirigida a versiones y regiones específicas de iOS. Desde entonces, Apple ha corregido las vulnerabilidades relacionadas en versiones más recientes. Aun así, esas protecciones solo ayudan a quienes instalan las actualizaciones.
El riesgo actual es grave, pero todavía no se ha confirmado plenamente que se trate de una campaña de robo. Según los informes, el programa espía puede recopilar datos del Llavero de Apple, bases de datos de Notas, fotos y archivos de aplicaciones seleccionadas. Cualquiera de estos elementos podría contener frases de recuperación, contraseñas u otras credenciales de billeteras. Sin embargo, los investigadores no han confirmado ningún caso de criptomonedas robadas ni demostrado que se hayan extraído claves privadas. Se observaron infecciones desde principios de 2026. Entre las correcciones relacionadas se incluyen una actualización de iOS 18.7.7 y parches anteriores. Una vez vulnerado un iPhone, los datos de billeteras almacenados en él o generados por él deben considerarse expuestos, aunque los atacantes todavía no hayan actuado.
Para los usuarios de iPhone que tienen criptomonedas, la protección práctica empieza por la integridad del dispositivo. Mantén iOS actualizado a la versión más reciente y considera usar los modos de seguridad reforzada de Apple, especialmente si no puedes instalar la actualización de inmediato. El equipo de amenazas de Google también recomendó estos ajustes de seguridad reforzada para quienes no puedan actualizar enseguida. La inscripción inexplicable en una solución de administración de dispositivos móviles, los perfiles de configuración extraños o el comportamiento inusual del teléfono deben considerarse señales de alerta. Si aparece alguna de estas señales, deja de usar ese dispositivo para realizar actividades relacionadas con criptomonedas.
Si sospechas que el dispositivo está infectado, la opción más segura es transferir los fondos a una billetera nueva creada en otro dispositivo confiable y con una frase de recuperación nueva. Evita guardar frases semilla o credenciales en Notas, fotos o aplicaciones de uso general. Considerar que un teléfono vulnerado equivale a una billetera vulnerada es una postura cautelosa, pero también realista. Las criptomonedas solo son tan seguras como el teléfono en el que se guardan.
El descubrimiento de P7 DarkSword demuestra que los atacantes ahora tienen como objetivo explícito a los usuarios de criptomonedas en dispositivos móviles: buscan aplicaciones de billetera y recopilan datos relacionados después de vulnerar un iPhone. Hasta ahora, no se ha confirmado ningún robo vinculado a este programa espía, pero el caso refuerza una tendencia más amplia. La seguridad de una billetera no depende solo de elegir una buena aplicación, sino también de usar un dispositivo totalmente confiable, un sistema operativo limpio y de manejar con cuidado las frases de recuperación y las credenciales. Para quienes usan un iPhone para la autocustodia, la principal medida de protección es mantener la integridad del dispositivo y estar preparados para migrar a una configuración limpia ante la primera señal creíble de vulneración.