Las empresas de seguridad SlowMist y Chainbase han identificado un ataque de phishing dirigido a usuarios de macOS a través de correos electrónicos disfrazados como "confirmación de auditoría/cumplimiento" o "confirmación de desbloqueo de token." Los atacantes envían correos con archivos adjuntos maliciosos que presentan extensiones dobles, como .docx.scpt, engañando a los usuarios para que ejecuten scripts. Esto conduce al robo de contraseñas del sistema, eludir los permisos TCC y desplegar una puerta trasera en Node.js. Los equipos de seguridad aconsejan a los usuarios que hayan abierto dichos archivos adjuntos o ingresado contraseñas que se desconecten inmediatamente de internet e inspeccionen sus sistemas en busca de brechas.