복구 문구 11개 확인…아이폰 지갑 겨냥 공격 흔적 포착

본문

Censys는 DarkSword·Coruna 관련 서버 사본에서 복구 문구 11개와 지갑 앱 18개를 겨냥한 모듈을 확인했다. 아이폰 공격 도구 DarkSword와 정보 탈취 도구 Coruna를 결합한 인프라가 최근까지 가동된 흔적이 포착됐다. 운영 서버 사본에서는 지갑 복구 문구 11개와 기기 데이터 디렉터리 179개가 발견됐다. Censys(센시스)는 10월 7일 공개한 보고서에서 관련 서버 5곳의 공개 디렉터리를 분석했다고 밝혔다. Coruna는 침해 뒤 작동하는 페이로드로, 지갑 앱에 모듈을 주입하고 사진과 메모에서 BIP39 복구 문구를 찾도록 설계됐다. 보고서에는 코인베이스($COIN), 메타마스크, 트러스트 월렛, 팬텀 등 지갑 앱 18개를 겨냥한 모듈이 기재됐다. Censys는 운영 서버 사본에서 실제 복구 문구가 나온 사실과 기기 두 대가 비콘 서버에 접속한 기록을 각각 확인했다.

Censys는 운영자가 iOS 26용 JavaScriptCore 취약점으로 보고서에서 ‘CVE-2026-31001’이라 부른 항목을 개발 중인 흔적도 확인했다. 구글 위협 분석 그룹은 앞서 Coruna가 iOS 13.0부터 17.2.1까지, DarkSword가 iOS 18.4부터 18.7까지를 겨냥했다고 보고했다. 애플은 iOS 18.7.7 보안 안내에서 DarkSword 웹 공격에 대한 보호를 포함했으며 관련 수정 사항은 2025년부터 배포했다고 설명했다. 아이폰 취약점을 이용해 지갑 정보와 시드 문구를 노릴 수 있다는 경고는 앞서 악성 링크와 취약점 결합 가능성을 다룬 본지 보도 에서도 제기됐다. 이번 Censys 보고서는 지갑 정보 탈취 기능과 과거 취약점 체인의 사용 흔적, 아직 배포되지 않은 iOS 26 개발 자료를 확인했다.