Fortgeschrittener iPhone-Exploit ‚Coruna‘ stiehlt Seed-Phrasen aus Krypto-Wallets

Google-Sicherheitsforscher haben ein neues Exploit-Kit entdeckt, das sich gezielt gegen iPhone-Nutzer richtet. Das Tool mit dem Namen Coruna nutzt Schwachstellen in älteren iOS-Versionen aus, um Seed-Phrasen von Krypto-Wallets zu stehlen. Wer diese Wiederherstellungswörter in die Hände bekommt, erhält vollständigen Zugang zur Wallet und allen darin befindlichen Kryptowährungen.

23 Exploits und 5 Angriffsketten aufgedeckt

Laut der Google Threat Intelligence Group enthält Coruna fünf vollständige Angriffsketten und insgesamt 23 verschiedene Exploits, darunter Schwachstellen, die zuvor nicht öffentlich bekannt waren. Das Tool zielt auf iPhones mit iOS-Versionen zwischen 13.0 und 17.2.1 ab.

Google entdeckte das Kit erstmals im Februar 2025. Der Einsatz wurde anfänglich einer mutmaßlichen russischen Spionagegruppe zugeschrieben, die Angriffe auf ukrainische Ziele über kompromittierte Websites durchführte. Der Exploit wurde selektiv verbreitet und zielte ausschließlich auf iPhone-Nutzer in bestimmten Regionen ab.

Fake-Websites als Krypto-Börsen getarnt

Später im Jahr 2025 tauchte dieselbe Technologie auf zahlreichen Fake-Websites aus China auf. Viele davon gaben sich als Finanzplattformen oder Kryptodienste aus, darunter eine Seite, die die Krypto-Börse WEEX imitierte.

Besucht ein iPhone-Nutzer eine solche Website, wird das Exploit-Kit automatisch geladen. Die Software versucht dann, Seed-Phrasen zu sammeln und überprüft, ob beliebte Krypto-Apps wie MetaMask und Uniswap auf dem Gerät installiert sind, um digitale Vermögenswerte zu erbeuten.

Mögliche Entwicklung im Auftrag der US-Regierung

Google nennt nicht das Unternehmen, von dem das Exploit-Kit stammt. Laut dem Sicherheitsunternehmen iVerify deutet die Komplexität der Software jedoch auf eine Beteiligung der US-Regierung hin. Mitbegründer Rocky Cole erklärte gegenüber WIRED, dass die Entwicklung wahrscheinlich Millionen von Dollar gekostet hat und Teile des Codes mit früheren, der Regierung zugeschriebenen Projekten übereinstimmen.

Das Cyber-Sicherheitsunternehmen Kaspersky äußert jedoch Zweifel. Ein leitender Forscher erklärte, dass es keine klaren Beweise dafür gibt, dass der Code den gleichen Entwicklern zugeschrieben werden kann.

iPhone dringend aktualisieren

Das Exploit-Kit funktioniert nicht auf der neuesten iOS-Version. Google rät iPhone-Nutzern, ihr Gerät so schnell wie möglich zu aktualisieren. Wer das nicht kann, sollte den Lockdown-Modus von Apple aktivieren, eine Sicherheitsfunktion, die speziell entwickelt wurde, um fortgeschrittene Cyberangriffe einzuschränken.