Safari-aanval op iPhone kan cryptowallets raken

De waarschuwing is vooral relevant voor beleggers die een cryptowallet op hun iPhone gebruiken. SlowMist adviseert gebruikers om iOS bijgewerkt te houden en voorzichtig te zijn met onbekende links.

Aanval maakt misbruik van oudere iOS-lekken

SlowMist onderzocht een kwaadaardige website die onderdeel was van de zogenoemde WYINCC-campagne. De sterkste technische aanwijzingen hebben betrekking op iOS 18.4 tot en met iOS 18.6.2.

Online verschenen ook berichten waarin iOS-versies van iOS 13 tot en met iOS 26.5 als kwetsbaar werden genoemd. Volgens SlowMist is daar nog onvoldoende bewijs voor. Het bedrijf heeft bijvoorbeeld niet kunnen bevestigen dat de onderzochte aanval ook op iOS 26.5 werkt.

De aanval gebruikt technieken uit DarkSword, een eerder ontdekte exploit chain voor iOS. Zo’n exploit chain combineert meerdere beveiligingslekken om steeds verder toegang te krijgen tot een apparaat. Verschillende aanvallers zouden DarkSword sinds ten minste november 2025 hebben gebruikt.

Apple heeft de kwetsbaarheden waarvan deze aanval gebruikmaakt inmiddels via beveiligingsupdates verholpen.

Een bezoek aan de website kon genoeg zijn

Het MistEye-team van SlowMist ontdekte de verdachte activiteit begin mei en publiceerde begin september een analyse van de campagne.

Centraal stond een website die reclame maakte voor een gratis virtual private server, beter bekend als een VPS. Achter de website draaide code die een aanval kon starten wanneer iemand de pagina met Safari op een iPhone opende.

Volgens de onderzoekers hoefde een gebruiker daarvoor niet altijd nog ergens op te klikken. Alleen het openen van de verkeerde website kon voldoende zijn om de exploitcode te laden.

Dat maakt de aanval extra relevant voor cryptogebruikers. Een verdachte app installeren is bij dit soort aanvallen niet noodzakelijk.

Cryptowalletgegevens waren een mogelijk doelwit

De onderzochte code probeerde toegang te krijgen tot Apple’s Keychain. iOS gebruikt deze beveiligde opslag onder meer voor wachtwoorden, sleutels en andere gevoelige informatie.

Daarnaast kon de code bestanden en gedeelde gegevens van apps benaderen. In theorie kunnen daar ook gegevens van cryptowallets tussen zitten.

Voor cryptobeleggers zijn vooral private keys en seed phrases belangrijk. Een private key geeft toegang tot crypto die bij een bepaald blockchainadres hoort. Een seed phrase is meestal een reeks van 12 of 24 woorden waarmee een wallet opnieuw kan worden ingesteld.

Wie een geldige seed phrase of private key bemachtigt, kan in veel gevallen de bijbehorende crypto naar een andere wallet sturen. Daarom moeten deze gegevens altijd buiten bereik van onbevoegden blijven.

Nog geen bewezen cryptodiefstal

De technische mogelijkheden van de aanval zijn duidelijker dan de daadwerkelijke schade.

SlowMist heeft nog geen slachtoffer gevonden waarbij het bedrijf onafhankelijk kon vaststellen dat deze specifieke Safari-aanval succesvol crypto heeft gestolen. De onderzoekers hebben de volledige aanval bovendien niet uitgevoerd op het apparaat van een daadwerkelijk slachtoffer.

De aanwezigheid van code die walletgegevens probeert te verzamelen, bewijst dus niet automatisch dat aanvallers daadwerkelijk private keys of seed phrases hebben buitgemaakt.

Ook is niet aangetoond dat iedere cryptowallet op een kwetsbare iPhone op dezelfde manier risico loopt. Dat hangt onder meer af van de wallet, de manier waarop gegevens worden opgeslagen en de gebruikte iOS-versie.

iPhone updaten blijft belangrijkste maatregel

SlowMist adviseert iPhone-gebruikers om de nieuwste beveiligingsupdates voor hun toestel te installeren. Dat verkleint het risico omdat Apple de bekende kwetsbaarheden achter deze aanval al heeft aangepakt.

Gebruikers die niet direct kunnen updaten of extra beveiliging nodig hebben, kunnen Apple’s Lockdown Mode overwegen. Deze instelling beperkt verschillende functies van de iPhone om geavanceerde digitale aanvallen moeilijker te maken. SlowMist heeft echter niet bevestigd dat Lockdown Mode deze specifieke Safari-aanval volledig blokkeert.

Wie vermoedt dat een seed phrase of private key is gelekt, moet voorzichtig handelen. In dat geval is het veiliger om een nieuwe wallet op een schoon apparaat aan te maken en de crypto daarnaartoe te verplaatsen. Een gelekte seed phrase kan niet veilig worden gemaakt door alleen een wachtwoord te wijzigen.

Conclusie

De Safari-aanval op de iPhone laat zien dat ook een bezoek aan een kwaadaardige website een risico kan vormen voor cryptogebruikers. De onderzochte code kon gevoelige gegevens op een iPhone proberen te bereiken, waaronder informatie van apps en Apple’s Keychain.

Er is tegelijkertijd nog geen bevestigd bewijs dat deze specifieke aanval daadwerkelijk crypto heeft gestolen. Ook claims dat iOS 26.5 kwetsbaar is, zijn volgens SlowMist nog niet technisch onderbouwd.

Voor iPhone-gebruikers met crypto blijft het advies daarom praktisch: installeer iOS-updates op tijd, vermijd verdachte links en behandel een mogelijk gelekte seed phrase of private key als onveilig.

Veelgestelde vragen

Kan deze Safari-aanval crypto van een iPhone stelen?

De onderzochte code heeft functies waarmee aanvallers gevoelige gegevens en bestanden van apps kunnen proberen te bereiken. SlowMist heeft echter nog niet bevestigd dat deze specifieke aanval daadwerkelijk tot cryptodiefstal heeft geleid.

Welke iOS-versies lopen risico?

Het sterkste technische bewijs heeft betrekking op iOS 18.4 tot en met iOS 18.6.2. Berichten dat alle versies van iOS 13 tot en met iOS 26.5 kwetsbaar zijn, zijn volgens SlowMist nog niet voldoende onderbouwd.

Wat moet ik doen als mijn seed phrase mogelijk is gelekt?

Maak op een schoon apparaat een volledig nieuwe wallet aan en verplaats je crypto naar de nieuwe adressen. Blijf een mogelijk gelekte seed phrase niet gebruiken, omdat iemand met toegang tot die woorden controle over de bijbehorende wallet kan krijgen.