谷歌曝光iPhone顶级漏洞武器，黑客正在批量收割加密资产-优快云博客

最近这波由谷歌威胁情报团队披露的 iOS 攻击事件，本质上已经不是“普通漏洞”，而是一次完整工业化漏洞利用生态的泄露与商业化变现。核心工具包名为 Coruna，其技术等级更接近情报级武器，而不是黑客脚本。它包含 23 个 exploit + 5 条完整攻击链，覆盖从入口识别到权限提升再到数据窃取的全流程，影响 iOS 13–17.2.1 大量设备

从攻击路径看，这类攻击已经从“点击钓鱼链接”升级为半自动化浏览器 RCE(远程代码执行)链条：用户只需访问伪造的加密网站，WebKit 漏洞即被触发，JavaScript 框架先完成设备指纹识别(型号 / iOS版本 / 安全机制)，再精准投放 exploit，实现“无感知入侵” 😈

更关键的是，它不是单点漏洞，而是组合利用(Exploit Chain)：

// 简化后的攻击逻辑(伪代码)if (is_iPhone() && iOS_version <= 17.2.1) { fingerprint = collectDeviceInfo(); exploit = selectExploitChain(fingerprint); triggerWebKitRCE(exploit); // 浏览器远程代码执行 bypassPAC(); // 绕过指针认证(iOS核心防护) payload = load("PlasmaLoader"); inject(payload, system_process); stealCryptoSecrets();}

这里最危险的点在于 PAC(Pointer Authentication Code)绕过——这是苹果用于防止内存攻击的关键机制，一旦被绕过，攻击者基本可以“接管系统级执行路径”，这也是为什么它能做到高成功率入侵

攻击落地阶段的 payload(被称为 PlasmaLoader)已经明显体现出“以钱为目标”的设计。它不会做复杂横向移动，而是精准扫描高价值数据结构：助记词(seed phrase)、私钥、钱包缓存、截图、备忘录文本等，并重点针对 MetaMask、Trust Wallet 等钱包应用 💸

这一点其实非常关键：攻击者不再依赖传统键盘记录或流量劫持，而是直接做语义级数据挖掘(Keyword-driven exfiltration)。例如：

keywords = ["seed phrase", "mnemonic", "private key", "backup phrase"]for file in device_storage: if contains_keywords(file, keywords): exfiltrate(file)

这意味着哪怕你只是截图保存助记词，也会被直接识别并盗取——攻击已经进入“内容理解层”

从产业视角看，这次事件最值得警惕的不是漏洞本身，而是攻击模型的演变：原本类似工具(甚至被怀疑来源于情报机构)主要用于监控和定向攻击，但现在已经被改造成“批量变现工具”，并在黑市流通，已有约 4.2 万台设备受害

更进一步的信号是，新一代工具如 DarkSword 已经出现，它继承了类似能力，但目标更加明确——从间谍活动彻底转向金融收益(crypto theft as a service)，标志着移动端攻击商业化进入新阶段

如果用专业术语总结，这类攻击属于：

👉 Browser-based RCE + Kernel exploit chain + Data exfiltration pipeline

👉 并叠加：Anti-mitigation(绕过系统防护)+ Target-aware payload(目标感知载荷)

最后说结论，这不是“某个漏洞”，而是一个趋势：

📉 iOS 安全神话正在被“供应链级 exploit 工具包”削弱

📈 攻击者从“控制设备”转向“直接变现资产”

⚠️ 用户风险从“隐私泄露”升级为“即时资产归零”

ChainSafeAI(链熵科技)专注于区块链生态安全，以“数据驱动 + 技术赋能”构建360°全方位安全防护体系，服务于交易所、金融机构、OTC服务商及加密资产投资者。

公司提供覆盖KYT风险监测、智能合约审计、加密资产追踪、区块链漏洞测试等在内的全维度安全与合规技术解决方案，助力客户防范洗钱、诈骗等风险，保障业务合规运行。