SlowMist Security Teamは、iOS 18.4から18.6.2を実行しているiPhoneのSafariブラウザを標的に、無料VPSサービスを装った攻撃キャンペーンを検知したと述べた。Odailyによると、攻撃者はDarkSwordというコードネームの6つの脆弱性を利用し、WebKitのリモートコード実行、サンドボックスの脱出、カーネルの読み書き権限を含む完全な攻撃チェーンを構築していた。

同チームによれば、この攻撃はユーザーに気付かれることなくAppコンテナのファイルやキーチェーンデータを取得でき、imToken、TokenPocket、TronLinkなどのウォレットが前面にあるときにはキー入力を記録することもできる。SlowMistは、Appleはすでに6つすべての脆弱性を修正済みであり、今回のキャンペーンはn-dayのエクスプロイトチェーンを再利用したものだと述べた。

SlowMistは、悪意のあるページを閲覧しただけでは、ニーモニックフレーズや秘密鍵が盗まれたことの証明にはならず、確認には引き続きデバイスのフォレンジックが必要だと付け加えた。また、iOSおよびiPadOSのユーザーには、できるだけ早くバージョン18.7.3または26.3以降へ更新するよう勧告した。