Les entreprises de sécurité SlowMist et Chainbase ont identifié une attaque de phishing ciblant les utilisateurs de macOS via des e-mails déguisés en « confirmation d'audit/conformité » ou « confirmation de déverrouillage de jeton ». Les attaquants envoient des e-mails avec des pièces jointes malveillantes comportant des doubles extensions, telles que .docx.scpt, trompant ainsi les utilisateurs pour qu'ils exécutent des scripts. Cela conduit au vol des mots de passe système, au contournement des permissions TCC, et au déploiement d'une porte dérobée Node.js. Les équipes de sécurité conseillent aux utilisateurs ayant ouvert de telles pièces jointes ou saisi des mots de passe de se déconnecter immédiatement d'internet et d'inspecter leurs systèmes pour détecter d'éventuelles compromissions.