SlowMist 首席信息安全官发布警告，称存在一个据报道针对加密钱包密钥的 iOS 漏洞，这引发了对将私钥材料或恢复凭证存储在设备上的 iPhone 用户的担忧。该警告尚未得到独立证实，且在撰写本文时，完整的技术细节尚未公开披露。
SlowMist CISO 关于 iOS 钱包密钥威胁的言论
该警报归因于区块链安全公司 SlowMist 的首席信息安全官，该公司追踪了一系列链上威胁，包括调查一起据称针对 Cetus 协议的 2.3 亿美元漏洞。根据据报道的公告，该警告集中在一个 iOS 级漏洞上，该漏洞可能会暴露受影响设备上持有的钱包密钥。有关相关报道，请参阅 CrediX Finance Faces Exploit, Promises Fund Recovery。
钱包私钥和恢复短语是授权交易的关键凭证。任何获得它们的人都将无条件控制相关资金，原始所有者无法补救。CISO 级别的归因表明 SlowMist 认为该风险是可信的，尽管该公司尚未发布完整的技术披露。
用户应将此视为未确认但严重的报告风险。没有公开证据确定受影响设备的数量、涉及的特定 iOS 版本，或是否发生了主动利用。
为什么 iOS 漏洞可能会危及加密钱包访问权限
钱包应用程序存储或处理私钥，即签署比特币和其他资产转移的加密密钥。恢复短语通常由 12 或 24 个单词组成，可以在任何设备上重新生成这些密钥。如果 iOS 级漏洞可以读取内存、访问安全飞地或拦截剪贴板内容，则任一类型的凭证都会暴露。
钱包应用程序和底层 iOS 层之间的区别在这里很重要。即使经过良好审计的钱包应用程序，如果操作系统本身受到损害，也无法保护密钥。在浏览器扩展向量中也观察到了相同的攻击面，其中发现 19 个 Chrome 扩展程序与加密盗窃和数据收集有关，这表明针对凭证的漏洞越来越多地在基础设施层而不是应用层运行。
SlowMist 此前已将跨链安全假设标记为风险向量，包括关于 Sui 和 Aptos 不兼容性的警告，这可能会误导用户对资产安全的看法。这种模式反映了更广泛的研究立场：在造成确认损失之前揭示风险。
须知：iPhone 加密用户现在可以采取的步骤
由于据报道的漏洞的技术范围尚未得到公开确认，用户应应用最高置信度的缓解措施，而不是等待具体细节。
仅通过官方渠道更新 iOS 和钱包软件。Apple 的应用商店和设备设置面板是唯一的授权更新路径。应完全忽略第三方更新提示、通过社交媒体或消息应用发送的链接，以及未经请求的“安全补丁”说明。
切勿在任何链接、弹出窗口或未经请求的支持提示中输入恢复短语或私钥。没有任何合法的钱包、交易所或安全公司会远程请求这些凭证。无论界面看起来多么官方，此规则均适用。
对于在移动设备上持有大量比特币余额的用户，硬件钱包可将密钥材料完全移出 iOS 设备，从而消除本警告所描述的暴露面。该选项不需要信任任何移动操作系统的安全性来进行签名操作。
更广泛的安全记录支持谨慎行事：与导致印度资产冻结的 2000 万美元美国加密欺诈案等事件相关的欺诈性资产恢复计划，经常在钱包级漏洞公开披露后紧随其后，因为不法分子转向利用用户恐惧的网络钓鱼活动。在采取行动之前，请通过 SlowMist 的官方渠道验证任何安全公告。
其他来源参考：source document 1, source document 2。
免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。在做决定之前，请务必自行研究。
Bitcoininfonews 首次发布了题为 SlowMist CISO Warns of iOS Exploit Targeting Crypto Wallet Keys 的文章。