SlowMist, iPhone Safari 공격을 통한 가상자산 절도 여부 아직 확인되지 않아

최근 보안 경고의 배경이 된 iPhone Safari 공격이 SlowMist의 조사에서 아직 확인된 암호화폐 도난 사례와 연결되지 않았습니다.

이번 주 iPhone 사용자들에게 기기를 즉시 업데이트할 것을 촉구하고 악성 Safari 페이지가 암호화폐 개인 키와 시드 구문을 노출할 수 있다는 경고를 담은 여러 보고서가 발표되었으며, 일부에서는 그 범위를 iOS 13부터 iOS 26.5까지로 언급했습니다.

SlowMist는 Cointelegraph에 분석한 특정 Safari 공격 샘플에 의해 기기가 침해된 피해자를 독립적으로 확인하지 못했으며, 가장 강력한 기술적 증거는 iOS 18.4에서 18.6.2까지에 해당한다고 밝혔습니다.

해당 회사는 “iOS 13에서 26.5” 범위는 예비적인 것으로 간주되어야 한다고 말했습니다. 또한 “따라서 재현 가능한 기술적 증거가 나올 때까지 iOS 26.5가 영향을 받는다고 명시하는 것을 피하고자 한다”고 덧붙였습니다.

이 Safari 공격은 이전에 공개된 DarkSword 익스플로잇 체인의 기술을 재사용하며, App Store 앱에 삽입된 악성 구성 요소와 관련된 또 다른 SlowMist 조사인 FomoPeek과는 별개입니다.

SlowMist, DarkSword 재사용 발견

Google Threat Intelligence Group (GTIG)는 3월에 DarkSword를 공개하며, 이를 최소 2025년 11월부터 여러 위협 행위자들이 사용해 온 iOS 익스플로잇 체인으로 설명했습니다.

SlowMist는 최고 정보 보안 책임자인 23pds가 이끄는 위협 인텔리전스 팀 MistEye가 5월 초에 관련 활동을 처음 식별했다고 밝혔습니다.

SlowMist는 9월 4일에 WYINCC Safari 캠페인에 대한 분석을 발표하며 무료 가상 사설 서버 서비스를 광고하는 악성 웹페이지를 식별했습니다.

SlowMist는 사용자가 별도의 클릭을 하지 않아도 iPhone에서 Safari로 해당 페이지를 열면 익스플로잇 코드가 로드된다고 말했습니다.

해당 체인에 사용된 취약점들은 이미 Apple에 의해 공개되고 패치되었다고 SlowMist는 밝혔습니다.

Safari 공격의 접근 목적

SlowMist는 분석한 악성 Safari 샘플에 Apple의 Keychain에 접근하여 저장된 정보를 검색하고 해독하도록 설계된 구성 요소가 포함되어 있음을 발견했습니다. 이 코드는 또한 앱 파일과 공유 앱 데이터에 접근할 수 있어 암호화폐 지갑 애플리케이션에 저장된 정보가 노출될 가능성이 있습니다.