Un teléfono oscuro y sin marcas, tumbado sobre una superficie negra, con una fina grieta de luz roja que cruza la pantalla y sigue hasta una moneda dorada lisa que flota a su lado
Ilustración propia generada con IA; no representa un dispositivo real.

Si guardas bitcoin en el iPhone: qué versiones de iOS ataca DarkSword y cómo saber si tu monedero está expuesto

Equipo NodeWitness 10 min de lectura

SlowMist ha detectado más de 1.500 webs trampa que sirven DarkSword, un kit que roba semillas y claves de los monederos del iPhone con solo abrir una página en Safari. Según su análisis, el ataque completo funciona en dos tramos de versiones de iOS. Así se comprueba la tuya y esto es lo que conviene hacer en cada caso.

La firma de seguridad SlowMist publicó este sábado, a las 07:13 (hora peninsular), una alerta dirigida a quien guarda criptomonedas en un iPhone o un iPad [1]. Su sistema de inteligencia de amenazas, MistEye, cuenta más de 1.500 webs de phishing ligadas a DarkSword que se hacen pasar por tiendas online, Binance, OKX, monederos, juegos y servicios de cambio [1][4]. El kit aprovecha fallos de iOS para salir del entorno aislado (sandbox) y llevarse las contraseñas del llavero del sistema, las claves privadas que los monederos guardan en el teléfono y las notas [1].

Las dos ventanas de versiones

El informe técnico de SlowMist del 19 de octubre separa lo que el kit promete de lo que consigue [2]. La puerta de entrada acepta iPhones con iOS 13 o posterior, y la biblioteca de cargas incluye etiquetas hasta iOS 26.6.1. Pero el código solo confirma dos tramos en los que la cadena de ataque llega hasta el final [2].

Según el análisis de SlowMist, la cadena completa de DarkSword funciona en iOS 18.6 a 18.7.2 y en iOS 26.0 a 26.1 [2].

Fuera de esos tramos, el propio código de los atacantes deja anotadas sus limitaciones. En la rama de iOS 18 se lee «18.7.3+ is patched», y en la de iOS 26, «No surviving vulnerabilities in 26.3+»; el ataque contra iOS 26.2 figura como no verificado [2]. Los iPhones con iOS 18.4 y 18.5 entran en la cadena, aunque en esas versiones queda incompleta [2].

Google Threat Intelligence Group, que destapó DarkSword el 18 de marzo, situó la cadena original entre iOS 18.4 y 18.7, y afirma que sus seis vulnerabilidades quedaron corregidas con iOS 26.3, la mayoría antes [7]. Apple cerró dos de los fallos de WebKit que usa el kit el 12 de diciembre de 2025, con iOS 26.2 e iOS 18.7.3 [10].

Tu iOS Qué dice el análisis de SlowMist Qué conviene hacer
26.0 a 26.1 La cadena completa funciona Actualizar ya y repasar si abriste enlaces dudosos
26.2 Ataque sin verificar Actualizar
26.3 o más (y el iOS 27) Sin fallos de entrada útiles, según el código de los atacantes Seguir en la última versión
18.6 a 18.7.2 La cadena completa funciona Actualizar ya y repasar si abriste enlaces dudosos
18.7.3 o más Parcheado, según el código de los atacantes Instalar la última 18.7 disponible
18.4 a 18.5 Entra en la cadena, pero incompleta Actualizar

Cómo comprobar tu versión

La versión aparece en Ajustes > General > Información, en la línea «Versión de iOS». Para actualizar, Ajustes > General > Actualización de software. Apple sostiene que los dispositivos al día no corrían riesgo frente a estos ataques web, y que Safari bloquea por defecto los dominios maliciosos que se han identificado [8]. Para la mayoría de modelos, las últimas versiones son iOS 27.0.1 e iOS 26.7.1, las dos del 28 de septiembre [11]. Quien se quedó en iOS 18 pudiendo pasar a iOS 26 también tiene salida, porque en abril Apple amplió iOS 18.7.7 a más modelos para hacerle llegar estas correcciones [9].

Hay un motivo más para no quedarse a medias. La biblioteca del kit guarda once archivos que apuntan a CVE-2026-43818, un fallo en el procesado de imágenes HEIF que afecta desde iOS 15.8.8 hasta 26.5.2 y que Apple no corrigió hasta iOS 26.6 [2]. Los atacantes lo tienen marcado como no probado en dispositivos reales [2], pero ilustra por qué la versión que protege es la última, no la primera que sale del tramo.

Si tu iPhone no admite una versión reciente, Apple propone activar el modo de aislamiento (Lockdown Mode), que según la empresa protege frente a estos ataques concretos incluso con software antiguo [8].

Qué tiene que ver con tu bitcoin

La lista de monederos que el kit busca de forma expresa la forman sobre todo apps multicadena: imToken, TokenPocket, TronLink, MetaMask, OKX, Coinbase, Exodus, BitKeep, Gate y Trust Wallet [2]. Varias de ellas guardan también bitcoin. En la lista publicada no aparece ninguna app exclusiva de bitcoin, y eso no significa que quien usa una esté a salvo.

El kit no se limita a las apps de monedero. Según SlowMist, la parte que se instala tras el ataque recoge el llavero, las notas, la fototeca, los SMS y las contraseñas wifi, entre otros datos [1][2]. Una semilla escrita en Notas o fotografiada para no perderla queda al alcance de la cadena igual que la de una app.

El destino de lo robado también está documentado. El panel de los atacantes tiene una página de gestión de semillas que muestra frases de recuperación, claves privadas, direcciones derivadas y saldos, con un botón para reunir los fondos en un solo paso [2]. Ya contamos en nuestro repaso a los tres ataques a monederos físicos de 2026 que lo que suele caer es la semilla, no el chip. Si solo existe en un monedero físico y en papel, nunca pasa por el teléfono.

Lo que muestra el panel

SlowMist accedió a los paneles de administración expuestos del kit y los vinculó con un paquete publicado en GitHub en julio, DarkSword-PROV2, que incluye la cadena de ataque, el servidor de distribución y el panel [2].

En los 30 días que revisó SlowMist, el panel registró 20.187 visitas, 1.187 intentos de ataque y 10 ataques consumados, nueve de ellos con robo de datos [2].

Son pocos éxitos para tantas visitas. El panel listaba 57 dispositivos de Australia, Malasia, Letonia, Corea del Sur, Ucrania, la provincia china de Jiangxi y Hong Kong [2]. Que un dispositivo figure en la lista no implica que el ataque saliera bien. SlowMist aclara que algunos tenían versiones fuera de las ventanas y solo llegaron a registrarse en la página trampa [2].

Por dónde llega

Las webs trampa del panel se montan con plantillas de sorteos de criptomonedas, verificación de WhatsApp, actualizaciones de iOS, Fotos de iCloud e inicio de sesión con Apple ID [2]. Entre los señuelos que encontró SlowMist hay un supuesto analizador de acciones con IA y una web de compraventa de relojes de lujo, que lanza el ataque al cargar la página, sin necesidad de pulsar nada [2].

No todo llega por enlaces. Yu Xian, fundador de SlowMist, avisa de que algunas apps ya instaladas pueden venir contaminadas [3]. Según el informe, las versiones 1.1 y 1.2 de la app FomoPeek, distribuidas por la App Store oficial, llevaban dentro un módulo de ataque al núcleo de iOS entre el 9 y el 17 de septiembre [2].

El caso más llamativo es el de un medio del sector. 23pds, responsable de seguridad de SlowMist, señaló que BlockBeats, un medio cripto chino, había servido la cadena de DarkSword [4]. BlockBeats confirmó después que el 22 de octubre una página de su web móvil fue copiada y recibió un script de un dominio ajeno, y que ya la ha limpiado [5]. La firma GCSA, que también avisó al medio, dice que vio cargarse ese script en la página de resultados de búsqueda de «bitcoin» de la web móvil [6]. GCSA matiza que haber cargado el script no prueba que un teléfono quedara comprometido [6].

Si abriste un enlace sospechoso

Actualizar cierra la puerta a ataques futuros, pero no recupera lo que ya se haya copiado [6]. Si tu iPhone estaba en una de las dos ventanas y abriste en Safari un enlace dudoso, SlowMist pide tratarlo como una filtración de credenciales [2]. Sus pasos, adaptados a quien guarda bitcoin:

  1. Crear un monedero con una semilla nueva desde un dispositivo que nunca haya abierto esa página; un monedero físico cumple esa condición [2].
  2. Mover allí todos los fondos y dar por comprometidas la semilla y las claves antiguas, sin volver a usarlas [2].
  3. Revisar si hay transferencias que no reconoces y, en otras cadenas, permisos concedidos que convenga revocar [2].
  4. Guardar el historial de Safari, los registros de fallos y las transacciones extrañas por si hacen falta después [2].

Importar la semilla antigua en un teléfono nuevo no sirve, porque se recupera el mismo monedero [6]. Y la recomendación que SlowMist repite en su alerta vale aunque no hayas abierto nada: la semilla no va en Notas [1]. Si además usas Electrum en el ordenador, actualiza a la 4.8.3: un servidor malicioso puede enseñarte un pago falso y esperar a que subas la comisión, como explicamos en nuestra pieza sobre el fallo. El resto de nuestra cobertura sobre cómo guardar las claves está en la sección de privacidad y autocustodia, y el caso de un implante que leía semillas de la pantalla, en nuestra pieza sobre los Ledger de CryptoBilis.

Queda por saber cuántas de las más de 1.500 webs siguen activas. Según SlowMist, la red de dominios rota sus resoluciones a diario desde el 8 de octubre para poner en línea direcciones nuevas [2].

Qué falló en los tres robos a usuarios de monederos físicos de este año, y qué te habría protegido en cada uno, en nuestra comparativa de ataques de 2026.

Fuentes

Entre paréntesis, el tipo de fuente.

  1. SlowMist, SlowMist TI Alert: DarkSword Targets iPhone Crypto Users, 24 de octubre de 2026, 07:13 (hora peninsular). Más de 1.500 webs de phishing, datos que roba el kit y pautas básicas. (Primaria, alerta de la firma en X)
  2. SlowMist, Threat Intelligence | Analysis of the DarkSword Trojan Backend and iOS Attack Chain, 19 de octubre de 2026 (resumen en X). Ventanas de versiones, cifras del panel, monederos objetivo, FomoPeek y recomendaciones. (Primaria, informe técnico de la firma)
  3. Yu Xian (@evilcos), aviso en X, 24 de octubre de 2026. Apps instaladas que pueden venir contaminadas y datos que roba el kit. (Primaria, declaración del fundador de SlowMist, en chino)
  4. 23pds (@im23pds), mensaje sobre BlockBeats y mensaje sobre las 1.500 webs, 24 de octubre de 2026. (Primaria, declaración del responsable de seguridad de SlowMist, en chino)
  5. BlockBeats, Security Notice Regarding Abnormal Scripts Injected into BlockBeats Webpages, 24 de octubre de 2026. Página copiada el 22 de octubre, script de un dominio ajeno y limpieza. (Primaria, comunicado oficial)
  6. GCSA, BlockBeats被投毒DarkSword攻击链,iPhone钱包面临失窃风险, 24 de octubre de 2026. Carga del script en la búsqueda de «bitcoin» y pautas tras una posible filtración. (Secundaria, análisis de una firma de seguridad reproducido por Coinlive, en chino)
  7. Google Threat Intelligence Group, The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors, 18 de marzo de 2026. Versiones de la cadena original, seis vulnerabilidades y parches. (Primaria, informe del equipo que la descubrió)
  8. Apple, Update iOS to protect your iPhone from web attacks, 14 de abril de 2026. Dispositivos protegidos, modo de aislamiento y Safe Browsing. (Primaria, nota oficial)
  9. Apple, About the security content of iOS 18.7.7 and iPadOS 18.7.7, 24 de marzo de 2026, ampliada el 1 de abril. Extensión de las correcciones de DarkSword a más dispositivos con iOS 18. (Primaria, nota oficial)
  10. Apple, About the security content of iOS 26.2 and iPadOS 26.2, 12 de diciembre de 2025. Corrección de los fallos de WebKit CVE-2025-43529 y CVE-2025-14174. (Primaria, nota oficial)
  11. Apple, Apple security releases, consultada el 24 de octubre de 2026. Fechas de iOS 27.0.1 e iOS 26.7.1. (Primaria, registro oficial)

Más en Privacidad y autocustodia

Ver los 21 artículos de Privacidad y autocustodia →

Última actualización: 24 de octubre de 2026