資安研究人員揭露，一個仿冒 Apple 的「iPhone Duo」預購頁面， 以 500 美元優惠券為誘餌，鎖定尚未更新的 iPhone 與加密貨幣錢包， 搶在官方 10 月 16 日開放預購前發動攻擊。
重點摘要：
- 只要使用存在漏洞的 iPhone 開啟該頁面，就可能觸發攻擊流程
- 惡意程式鎖定加密貨幣錢包、鑰匙圈憑證、備忘錄及其他個人資料
- 蘋果表示，已更新至修補版本的裝置可防禦通報中的 DarkSword 攻擊
iPhone Duo 假預購騙局曝光
根據 Malwarebytes 公布、並於 9 月 29 日發布的研究報告，以及隔日 9to5Mac 的後續報導顯示， 研究人員在追蹤與 iPhone Duo 新機上市相關的詐欺行為時， 發現這個外觀幾乎仿照蘋果官方設計的惡意網站。
該網站宣稱提供 500 美元「授權合作夥伴專屬」優惠券與 AppleCare+ 保障， 但事實上，官方 iPhone Duo 預購要到 10 月 16 日才正式開放。
Malwarebytes 指出，假頁面列出的機型容量與顏色選項與蘋果實際產品不符， 網站上的多個政策連結也處於失效狀態。 更關鍵的是，攻擊嘗試在訪客尚未送出任何資料前就已開始運作。
研究人員表示，該網站利用外流的 DarkSword 攻擊鏈掃描具弱點的 iPhone， 一旦成功，就會嘗試載入第二階段惡意程式， 蒐集裝置資訊、Apple 備忘錄內容，及儲存在鑰匙圈中的登入憑證等敏感數據。
延伸閱讀：Polymarket 基輔攻擊下注量達 12.4 萬美元，實際主力僅兩筆交易
Malwarebytes：加密錢包成主要攻擊目標
惡意載荷會掃描多款加密貨幣錢包 App，包括 MetaMask、Phantom、Trust Wallet、Coinbase Wallet、 Exodus 與 Tonkeeper 等，一旦與攻擊者伺服器建立連線， 便會嘗試上傳錢包相關檔案、登入憑證及照片縮圖等資料。
研究人員同時發現，程式碼也針對簡訊、通訊錄、通話紀錄、語音信箱、 電子郵件、行事曆與快取定位資訊設計資料蒐集模組， 惡意程式還可持續向遠端伺服器請求額外指令，擴大攻擊範圍。
Malwarebytes 表示，他們已對攔截到的惡意程式碼完成靜態分析， 但並未實際在 iPhone 上執行測試，也未觀察到真實裝置資料外洩行為。 換言之，目前確定的是攻擊邏輯與能力設計，而非已驗證的實際盜竊案例。
Google 在 2026 年 3 月公開 DarkSword 攻擊鏈細節， 蘋果隨後於同月針對相關漏洞釋出修補更新。 安全公司 iVerify 當時估計，全球約有高達 2.7 億台裝置執行受攻擊鎖定的 iOS 版本。 不過 Malwarebytes 強調，這個數字已不再適用當前情況， 而此次假預購頁面實際能攻擊的 iOS 版本範圍仍未完全確認。
