Google enthüllt iPhone-Kryptowährungs-Angriffs-Toolkit „Coruna“, das Mnemonikwörter und Wallet-Informationen stehlen kann

Am 5. März veröffentlichte das Google Threat Intelligence Group (GTIG) einen Sicherheitsbericht, in dem Forscher eine neue iPhone-Sicherheitslücke namens „Coruna“ aufdeckten, die mit einem Exploit-Toolkit verwendet wird, um Kryptowallet-Mnemonikwörter und Finanzinformationen zu stehlen. Das Toolkit zielt auf Geräte mit iOS 13.0 bis 17.2.1 ab und führt gezielte Angriffe durch mehrere Exploit-Ketten aus, was in der mobilen Sicherheitsbranche große Aufmerksamkeit erregt.

Der Bericht zeigt, dass „Coruna“ aus fünf vollständigen iOS-Exploit-Ketten besteht, die insgesamt 23 Sicherheitslücken umfassen, von denen einige zuvor noch nie öffentlich bekannt waren. Die Google-Forscher gaben an, dass sie die entsprechenden Angriffe erstmals im Februar 2025 erkannt haben. Zunächst wurde vermutet, dass das Tool von russischen Spionageorganisationen für Cyberangriffe auf ukrainische Nutzer eingesetzt wurde. Später wurde es auch verwendet, um gefälschte Finanz- und Krypto-Websites zu erstellen, die Nutzer dazu verleiten, diese zu besuchen, um dann Informationen zu stehlen.

Die Angriffsweise basiert hauptsächlich auf bösartigen Webseiten, die Exploit-Code enthalten. Wenn ein iPhone-Nutzer eine bestimmte Webseite besucht, erkennt das JavaScript-Framework auf der Seite die Geräte-Fingerabdrücke, bestätigt die Systemversion und lädt dann die entsprechenden Exploit-Programme. Forscher entdeckten auf mehreren gehackten ukrainischen Webseiten dasselbe Framework und stellten fest, dass die Angriffssoftware nur an iPhones in bestimmten Regionen gesendet wird.

Im Dezember 2025 fand das Team das gleiche Framework in einer Vielzahl gefälschter chinesischer Webseiten, die mit Finanzdienstleistungen in Verbindung stehen, darunter auch gefälschte Krypto-Plattformseiten. Sobald Opfer diese Webseiten mit einem iOS-Gerät besuchen, scannt das Angriffstool die sensiblen Daten des Geräts, wie Mnemonikwörter, Backup-Phrasen oder Textdaten mit Bankkonten, und versucht gleichzeitig, Daten aus gängigen Krypto-Wallet-Apps auszulesen, um die Kontrolle über digitale Vermögenswerte zu erlangen.

Google weist darauf hin, dass dieses Exploit-Toolkit derzeit nicht auf den neuesten Versionen von iOS lauffähig ist. Daher wird iPhone-Nutzern dringend empfohlen, das System so bald wie möglich zu aktualisieren. Falls ein Update nicht möglich ist, kann die von Apple bereitgestellte „Lockdown Mode“ aktiviert werden, um komplexe Cyberangriffe abzuwehren.

Gleichzeitig löste die Diskussion um die Herkunft von „Coruna“ Kontroversen aus. Rocky Cole, Mitbegründer des Mobile-Sicherheitsunternehmens iVerify, sagte in einem Medieninterview, dass das Tool äußerst komplex sei, die Entwicklungskosten mehrere Millionen US-Dollar betragen könnten und es einige Module aufweise, die Ähnlichkeiten mit US-Regierungsnetzwerk-Tools aufweisen. Experten des Sicherheitsforschungsinstituts Kaspersky erklärten jedoch, dass es derzeit keine ausreichenden Beweise gebe, um eine direkte Verbindung zwischen dem Code und bekannten Tools herzustellen.

Sicherheitsexperten raten Kryptowährungsnutzern, beim Einsatz mobiler Wallets oder beim Besuch entsprechender Webseiten vorsichtig zu sein, Phishing-Seiten zu erkennen und das System regelmäßig zu aktualisieren, um das Risiko eines Mnemonik-Wörter-Lecks und Diebstahls digitaler Vermögenswerte zu minimieren.