SlowMist, ücretsiz bir VPS hizmeti gibi görünen bir saldırı kampanyasının iOS 18.4 ila 18.6.2 sürümlerindeki iPhone Safari kullanıcılarını hedef aldığını söyledi. Kötü amaçlı event.polarnode.vip sitesinin, gizli bir iframe aracılığıyla çok aşamalı bir istismarı devreye soktuğu ve WebKit uzaktan kod yürütme, GPU/mediaplaybackd sandbox’tan kaçış ve çekirdek okuma/yazma erişimini içeren DarkSword’un altı CVE’li zincirini yeniden kullandığı bildirildi. Kampanya, imToken, TokenPocket veya TronLink ön planda etkin olduğunda uygulama dosyalarını ve Keychain verilerini özyinelemeli olarak toplayabiliyor ve klavye girişlerini yakalayabiliyor. SlowMist, sayfanın yalnızca ziyaret edilmesinin mnemonic phrase’lerin veya özel anahtarların çalındığını doğrulamadığını, ihlalin teyit edilmesi için cihaz adli incelemesinin gerektiğini söyledi. Şirket, kullanıcılara iOS/iPadOS 18.7.3 veya 26.3+ sürümüne yükseltme yapmalarını ve wyincc.com, polarnode.vip ile 36887 numaralı bağlantı noktasını engellemelerini tavsiye etti.