La firma de ciberseguridad SlowMist ha emitido una advertencia sobre la operación activa del malware Darksword, una amenaza sofisticada que se dirige a usuarios de billeteras cripto en dispositivos iOS. La investigación publicada el 23 de marzo de 2026 revela que Darksword aprovecha vulnerabilidades en versiones específicas de iOS —particularmente entre la 18.4 y la 18.6.2— para infiltrarse y robar información sensible de aplicaciones populares como imToken, TokenPocket y TronLink. Esta situación vuelve a poner en el centro del debate la seguridad de quienes administran activos digitales desde dispositivos móviles, en especial cuando dependen de entornos considerados de alta confianza como el ecosistema Apple.
El surgimiento de Darksword marca un punto crítico para el sector cripto, tanto por el alcance potencial de la campaña como por la facilidad de explotación. Las vulnerabilidades permiten al malware superar protecciones del sistema operativo, acceder al llavero de iOS, interceptar entradas de teclado y extraer frases semilla de billeteras. La filtración pública de un kit de explotación basado en Darksword, fácilmente adaptable y sin requerir conocimiento avanzado en iOS, eleva el riesgo de campañas masivas de robo de activos en un contexto donde cientos de millones de iPhones y iPads siguen ejecutando versiones vulnerables. El llamado urgente de SlowMist y otros especialistas es explícito: los usuarios deben actualizar sus dispositivos y mantener cautela ante campañas que simulan ofrecer servicios legales, como la reciente trampa mediante supuestos VPS gratuitos.
Un ataque técnicamente complejo y adaptativo
El análisis técnico realizado por SlowMist identifica una cadena de ataque escalonada y altamente adaptativa. Todo comienza con la distribución de enlaces maliciosos camuflados en campañas creíbles, como promociones de VPS gratuitas. Cuando un usuario accede a estos enlaces desde Safari en un iPhone con una versión vulnerable de iOS, el sitio web activa un script preconfigurado. Este script verifica que se cumplan condiciones precisas del entorno —excluyendo competidores de Safari y navegadores alternativos— antes de desplegar una secuencia de iframes y cargas de scripts que aprovechan hasta seis CVEs recientes.
La explotación es progresiva: el código primero rompe las restricciones del navegador usando vulnerabilidades de WebKit, luego escala privilegios dentro del sistema utilizando fallos en los procesos gráficos (GPU) y el kernel de iOS. Finalmente, inyecta módulos maliciosos en procesos privilegiados, lo que permite acceso a archivos, llavero, almacenamiento local y entradas de teclado, orientado específicamente a tres billeteras cripto. Todo el flujo se mantiene oculto para el usuario y emplea técnicas de ofuscación para dificultar la detección y el análisis forense.
Consecuencias para millones de usuarios y el ecosistema cripto
La capacidad de Darksword para exfiltrar datos críticos —incluidas frases semilla, llaveros y credenciales de billeteras— representa una amenaza directa y masiva. Según cifras actuales, alrededor del 25 % de usuarios de iPhone e iPad continúan utilizando iOS 18 o versiones anteriores, lo que equivale potencialmente a cientos de millones de dispositivos en riesgo. Además, la publicación reciente del kit de explotación en plataformas públicas como GitHub redujo prácticamente a cero la barrera de entrada para actores maliciosos, que pueden desplegar ataques funcionales en minutos sin necesidad de experiencia profunda en seguridad o desarrollo para iOS.
- Darksword funciona “fuera de la caja”, permitiendo el robo de datos personales y criptoactivos con mínima inversión técnica por parte de atacantes.
- La naturaleza reutilizable de los exploits incrementa la probabilidad de réplicas y derivaciones en futuras campañas.
- La circulación del malware ha superado la capacidad de contención, sobre todo mientras persistan dispositivos sin actualizar.
Apple emitió una actualización de emergencia el 11 de marzo de 2026 para dispositivos que no pueden instalar versiones recientes de iOS, con la recomendación contundente de mantener los sistemas al día. Según portavoces de Apple y Google, los dispositivos protegidos con las últimas versiones de software, así como aquellos que usan el Modo de Confinamiento (“Lockdown Mode”), están a salvo de esta amenaza en particular.
Recomendaciones de protección y consideraciones prácticas
La advertencia expresa de SlowMist y otros especialistas en ciberseguridad orienta a los usuarios de criptomonedas a tomar medidas inmediatas para evitar incidentes de robo. Entre las recomendaciones:
- Actualizar dispositivos iOS a la versión más reciente disponible. Aquellos que no pueden hacerlo deben instalar los parches de emergencia proporcionados por Apple.
- Evitar ingresar frases semilla o credenciales en billeteras desde navegadores móviles, especialmente si se accedió previamente a enlaces no verificados o promociones sospechosas.
- Extremar precauciones ante campañas que prometen servicios gratuitos o beneficios poco convencionales, ya que suelen ser señuelos de ataques.
- Utilizar las funciones de seguridad avanzadas de Apple, como el Modo de Confinamiento.
Los desarrolladores de billeteras cripto deben reforzar las medidas de detección de manipulaciones en el entorno de ejecución de sus aplicaciones e informar rápidamente a los usuarios de riesgos activos. A nivel de ecosistema, la aparición de kits de explotación públicos eleva la necesidad de una colaboración ágil entre firmas de ciberseguridad, proveedores de servicios y fabricantes de software para la identificación, comunicación y mitigación de nuevas amenazas.
La situación subraya la importancia de la actualización continua y el monitoreo de los activos digitales. Quienes mantienen fondos de criptomonedas en dispositivos móviles se enfrentan a un escenario en rápida evolución, en el que las vulnerabilidades de día cero y los kits públicos de explotación pueden convertir cualquier descuido tecnológico en una pérdida irreversible de activos.
Para mayor información técnica, la investigación completa de SlowMist está disponible en su publicación original.
La aparición y rápida diseminación del exploit Darksword marca un precedente en la capacidad de escalada y automatización de amenazas contra usuarios de criptomonedas en iOS. Para usuarios y desarrolladores, el aprendizaje central es la urgente necesidad de mantener sistemas actualizados, limitar el uso de billeteras en dispositivos vulnerables, y adoptar posiciones proactivas ante alertas y soluciones de seguridad emergentes.