iPhone Jadi Target DarkSword, Spyware Mengincar Dompet Kripto

Pengguna iPhone menghadapi ancaman keamanan siber dari spyware DarkSword yang mampu mengeksploitasi kerentanan sistem operasi untuk mencuri informasi sensitif. Data yang menjadi sasaran mencakup kata sandi dalam Keychain, informasi perangkat, hingga data aplikasi dompet kripto.

Ancaman DarkSword iPhone semakin mendapat perhatian setelah perusahaan keamanan siber iVerify dan Report URI mengungkap penyebaran perangkat eksploitasi tersebut melalui iklan berbahaya di Instagram dan jaringan periklanan. Metode yang disebut half-click attack memungkinkan eksploitasi berjalan tanpa pengguna harus mengeklik iklan secara langsung.

Temuan tersebut melanjutkan pengungkapan Google Threat Intelligence Group (GTIG) pada Maret 2026 mengenai rantai eksploitasi iOS bernama DarkSword. Pada Oktober 2026, iVerify juga memublikasikan analisis varian baru bernama P7 DarkSword yang memiliki kemampuan pencurian data lebih luas dan mekanisme komunikasi dengan server penyerang.

P7 DarkSword Mengembangkan Kemampuan Serangan ke iPhone

Dalam laporan berjudul Sleep, Beacon, Steal, Repeat – The Story of P7 DarkSword Variant yang diterbitkan pada 8 Oktober 2026, iVerify mengungkap varian DarkSword yang sebelumnya belum pernah mereka identifikasi.

iVerify pertama kali menyelidiki infeksi varian tersebut pada Agustus 2026 setelah menerima peringatan mengenai aktivitas mencurigakan di perangkat salah satu pelanggan. Hasil pemeriksaan forensik kemudian mengonfirmasi keberadaan varian baru yang dinamakan P7 DarkSword.

Nama P7 berasal dari penggunaan awalan variabel p7_ dalam modifikasi kode oleh operator serangan. Dibandingkan varian yang sebelumnya diamati, P7 membawa tiga perubahan utama, yaitu mengurangi jejak aktivitas pada perangkat, meningkatkan stabilitas operasi, serta memperluas kemampuan pencurian informasi.

Salah satu perubahan penting terdapat pada mekanisme pencurian data Keychain. Jika versi sebelumnya menyalin basis data Keychain untuk diproses di infrastruktur penyerang, P7 mampu mengekstrak informasi tersebut menjadi format JSON langsung di perangkat sebelum mengirimkannya ke server yang dikendalikan pelaku.

Varian ini juga memiliki kemampuan komunikasi dua arah dengan server Command and Control (C2). Berdasarkan analisis iVerify, spyware mengirimkan permintaan beacon setiap 15 detik untuk menerima instruksi baru. Interval komunikasi tersebut dapat diubah oleh operator melalui perintah dari server.

Melalui mekanisme tersebut, penyerang dapat memberikan perintah untuk mengambil berkas, mengumpulkan daftar aplikasi yang terpasang, mengakses basis data Apple Notes, mengambil foto, hingga mengekstrak informasi Keychain dan data dompet kripto.

Spyware iPhone Menyebar Lewat Iklan Instagram Tanpa Perlu Klik

Perkembangan berikutnya terungkap pada 21 Oktober 2026 melalui penelitian bersama iVerify dan Report URI berjudul Dead Domains, Live Exploits: How Infected Ads and Expired Analytics Tags Deliver Coruna and DarkSword to iPhones.

Penelitian tersebut menemukan bahwa kelompok penjahat siber memanfaatkan infrastruktur periklanan untuk menyebarkan dua perangkat eksploitasi iOS, yaitu Coruna dan DarkSword. Keduanya dapat memanfaatkan kerentanan pada perangkat yang belum memasang pembaruan keamanan terkait.

Salah satu temuan iVerify memperlihatkan P7 DarkSword didistribusikan melalui iklan Instagram bertema Piala Dunia. Iklan tersebut berasal dari infrastruktur berbahaya dan menginfeksi perangkat milik seorang karyawan organisasi pelanggan iVerify ketika pengguna sedang menggulir linimasa Instagram.

Metode ini disebut half-click attack karena pengguna tidak perlu mengeklik iklan untuk memicu eksploitasi. Namun, serangan tetap membutuhkan pengguna mengakses halaman web atau platform yang memuat elemen iklan berbahaya. Ketika materi iklan tersebut dimuat, eksploitasi dapat berjalan secara otomatis pada perangkat yang memenuhi kondisi kerentanan.

Selain Instagram, Report URI menemukan kampanye bernama DeadTag yang memanfaatkan domain lama milik layanan analitik dan periklanan. Domain yang telah kedaluwarsa dibeli kembali oleh pelaku dan disalahgunakan untuk mengarahkan pengunjung situs ke infrastruktur berbahaya.

Peneliti menemukan ratusan domain yang telah didaftarkan kembali dan digunakan dalam operasi tersebut. Infrastruktur terkait juga ditemukan tertanam pada ribuan situs web, termasuk sejumlah toko online.

Temuan ini memperlihatkan bahwa jaringan periklanan dan integrasi pihak ketiga dapat menjadi jalur distribusi spyware ketika domain atau layanan yang digunakan tidak lagi dikelola dengan aman.

Dompet Kripto dan Informasi Keychain Menjadi Sasaran

Ancaman DarkSword tidak terbatas pada pengumpulan informasi perangkat. Kemampuan keluarga eksploitasi ini juga mencakup pencarian data keuangan dan informasi pribadi yang tersimpan di iPhone.

Dalam penelitian Oktober 2026, iVerify dan Report URI mengidentifikasi sejumlah aplikasi dompet kripto yang menjadi sasaran keluarga eksploitasi Coruna dan DarkSword, antara lain:

• Binance
• Coinbase Wallet
• OKX
• Bitget
• Trust Wallet
• Exodus
• TronLink
• Bitpie

Selain aplikasi dompet kripto, informasi yang dicari juga mencakup kata sandi dan kredensial dalam Keychain, informasi perangkat, data akun, serta konten pribadi seperti foto dan pesan.

Perlu dipahami bahwa keberadaan aplikasi tersebut dalam daftar sasaran tidak berarti masing-masing aplikasi memiliki celah keamanan yang sama. Ancaman utamanya berada pada eksploitasi sistem operasi iOS. Ketika perangkat berhasil dikompromikan, informasi yang tersimpan dalam aplikasi maupun sistem perangkat berpotensi diakses oleh penyerang.

Karena itu, keamanan dompet kripto tidak hanya bergantung pada perlindungan aplikasi. Kondisi sistem operasi, penyimpanan informasi pemulihan, dan keamanan perangkat yang digunakan untuk mengakses aset digital juga menjadi faktor penting.

Google Ungkap Enam Kerentanan dalam DarkSword

DarkSword pertama kali diungkap secara luas oleh Google Threat Intelligence Group pada 18 Maret 2026. Dalam laporannya, Google menjelaskan bahwa perangkat eksploitasi tersebut menggunakan enam kerentanan untuk mengambil alih perangkat iPhone yang menjalankan versi iOS tertentu.

Rantai eksploitasi tersebut dapat melewati sejumlah lapisan keamanan, mulai dari browser hingga memperoleh hak akses tingkat kernel. Google mengidentifikasi tiga keluarga malware yang dapat dijalankan setelah perangkat berhasil dikompromikan, yaitu GHOSTBLADE, GHOSTKNIFE, dan GHOSTSABER.

Menurut Google, rantai eksploitasi DarkSword mendukung perangkat dengan iOS 18.4 hingga 18.7. Google juga menjelaskan bahwa seluruh kerentanan yang digunakan dalam rantai tersebut telah ditambal melalui pembaruan iOS, dengan sejumlah perbaikan dirilis sebelum iOS 26.3.

Google turut mengidentifikasi penggunaan DarkSword oleh sejumlah penyedia perangkat pengawasan komersial dan kelompok yang diduga memiliki hubungan dengan aktor negara dalam berbagai kampanye siber.

Temuan tersebut menjadi dasar penting untuk memahami risiko DarkSword. Perangkat yang masih menggunakan versi iOS rentan dapat menghadapi ancaman eksploitasi, terutama ketika mengakses situs atau konten yang telah disusupi.

Trust Wallet Ingatkan Pengguna Memperbarui iOS

Peringatan mengenai ancaman terhadap dompet kripto juga disampaikan Trust Wallet melalui akun resmi X pada 6 November 2026.

Trust Wallet menjelaskan bahwa keamanan dompet kripto turut bergantung pada sistem operasi perangkat yang digunakan. Ketika kerentanan ditemukan pada iOS, Apple memperbaikinya melalui pembaruan perangkat lunak. Namun, perangkat yang belum memasang pembaruan terkait tetap berisiko terhadap celah keamanan yang telah diketahui.

Trust Wallet secara khusus mengidentifikasi dua perangkat eksploitasi yang menargetkan rentang versi iOS berbeda:

• Coruna: Menargetkan iOS 13.0 hingga 17.2.1 melalui situs web berbahaya untuk mengeksploitasi kerentanan sistem.
• DarkSword: Menargetkan iOS 18.4 hingga 18.7 dengan memanfaatkan sejumlah kerentanan untuk melewati perlindungan keamanan bawaan iOS.

Perusahaan tersebut menegaskan bahwa kedua perangkat eksploitasi tidak bergantung pada kerentanan aplikasi dompet kripto. Namun, setelah iPhone berhasil dikompromikan, informasi sensitif yang tersimpan di perangkat dapat diakses oleh penyerang.

Trust Wallet merekomendasikan pengguna untuk memperbarui iOS ke versi terbaru yang tersedia, mengaktifkan Lockdown Mode jika pembaruan belum memungkinkan, menghindari situs yang tidak tepercaya, serta tidak menyimpan recovery phrase dan private key dalam tangkapan layar maupun aplikasi catatan.

Gnosis Pay Ungkap Kebocoran Data Pelanggan

Di tengah meningkatnya perhatian terhadap keamanan aset digital, Gnosis Pay mengumumkan insiden kebocoran data pada sistem yang mendukung kartu bermerek Gnosis Pay. Pengumuman tersebut dipublikasikan melalui blog resmi perusahaan pada 6 November 2026.

Gnosis Pay menyatakan sistem pemantauannya mendeteksi akses tanpa izin pada 3 November 2026. Insiden tersebut menyebabkan sejumlah informasi pelanggan terekspos pada sistem kartu konsumen atau lini bisnis B2C.

Perusahaan menyebut tim keamanan mulai melakukan penanganan dalam waktu dua jam setelah insiden terdeteksi. Kredensial keamanan yang terdampak juga telah diganti dan kerentanan yang digunakan dalam insiden tersebut telah ditangani.

Gnosis Pay menegaskan bahwa dana pelanggan tidak terdampak. Kebocoran tersebut juga terbatas pada sistem kartu bermerek Gnosis Pay, sedangkan platform enterprise yang mendukung program kartu white-label tidak terkena dampak.

Perusahaan tidak merinci seluruh jenis informasi yang terekspos dalam pengumuman publiknya. Namun, setiap pelanggan yang terdampak telah menerima email berisi informasi spesifik mengenai data yang diakses dari akun masing-masing.

Gnosis Pay juga mewajibkan verifikasi 3D Secure untuk seluruh pembayaran kartu online sebagai langkah tambahan. Kebijakan tersebut akan berlaku hingga sistem B2C yang terdampak dihentikan sesuai rencana pada 20 Desember 2026.

Insiden Gnosis Pay merupakan kebocoran data terpisah dan tidak dilaporkan berkaitan dengan eksploitasi DarkSword. Meski demikian, perusahaan mengingatkan pengguna agar waspada terhadap pesan mencurigakan yang mengatasnamakan Gnosis Pay, termasuk permintaan PIN, private key, seed phrase, maupun instruksi untuk memindahkan dana.

Langkah Melindungi iPhone dan Dompet Kripto

Pengguna iPhone dapat melakukan sejumlah langkah untuk mengurangi risiko serangan spyware dan pencurian aset digital. Berikut beberapa tindakan yang direkomendasikan berdasarkan panduan keamanan Google, iVerify, dan Trust Wallet.

1. Perbarui iOS ke Versi Terbaru

Pasang pembaruan keamanan terbaru yang tersedia dan kompatibel dengan perangkat. Pemeriksaan dapat dilakukan melalui menu Settings > General > Software Update.

Pembaruan sistem menjadi langkah penting karena eksploitasi DarkSword memanfaatkan kerentanan pada versi iOS tertentu yang telah diperbaiki melalui pembaruan keamanan Apple.

2. Aktifkan Lockdown Mode

Pengguna yang mengelola aset kripto dalam jumlah besar dapat mempertimbangkan fitur Lockdown Mode. Fitur ini membatasi sejumlah fungsi perangkat, termasuk pemuatan konten web tertentu yang dapat dimanfaatkan dalam serangan.

Fitur tersebut dapat diaktifkan melalui Settings > Privacy & Security > Lockdown Mode. Pengguna perlu memahami bahwa pengaktifannya juga membatasi sejumlah fitur normal perangkat.

3. Hindari Menyimpan Seed Phrase secara Digital

Jangan menyimpan seed phrase atau private key dalam bentuk tangkapan layar, foto, maupun catatan digital yang mudah diakses. Gunakan metode penyimpanan luring yang aman untuk melindungi informasi pemulihan dompet.

4. Hindari Situs Web dan Tautan Mencurigakan

Jangan sembarangan membuka halaman web mencurigakan atau mengikuti tautan yang dikirim melalui pesan dan iklan. Temuan malvertising menunjukkan bahwa materi iklan yang dimuat dalam halaman web juga dapat menjadi jalur distribusi eksploitasi.

5. Periksa Perangkat Jika Mencurigai Infeksi

Jika perangkat dicurigai terinfeksi, iVerify menyarankan pengguna menjalankan pemeriksaan menggunakan iVerify Basic untuk mencari indikator kompromi dan mempertahankan data log yang diperlukan.

Jika ditemukan indikasi infeksi, pengguna disarankan mengikuti prosedur penanganan insiden, mengganti kata sandi yang tersimpan di Keychain, serta memindahkan aset kripto ke dompet baru yang dibuat dari perangkat bersih dengan recovery phrase berbeda.

Jangan melakukan pemindahan aset menggunakan perangkat yang masih dicurigai terinfeksi. Pastikan perangkat yang digunakan untuk membuat dompet baru berada dalam kondisi aman.

Keamanan iPhone Menjadi Perhatian Pemilik Aset Digital

Perkembangan P7 DarkSword memperlihatkan bagaimana spyware terus berkembang, mulai dari pengurangan jejak aktivitas hingga kemampuan mencuri informasi sensitif langsung dari perangkat. Penyebarannya melalui jaringan periklanan juga memperluas potensi paparan terhadap pengguna iPhone yang masih menggunakan sistem operasi rentan.

Bagi pemilik aset digital, perlindungan dompet kripto tidak cukup hanya dengan mengandalkan keamanan aplikasi. Memperbarui iOS, menjaga kerahasiaan recovery phrase, dan memastikan perangkat tetap aman menjadi bagian penting dari perlindungan aset.

Temuan DarkSword dan kebocoran data Gnosis Pay juga memperlihatkan bahwa keamanan ekosistem kripto mencakup berbagai lapisan, mulai dari perangkat pribadi hingga infrastruktur layanan keuangan digital.