iVerify's P7 DarkSword spyware hunts crypto wallets like imToken and MetaMask on iPhones, pulling Keychain data every 15 seconds. Here's what's known and…

iVerify’s P7 DarkSword report describes remote commands to collect imToken-related data after an iPhone is compromised. The post New iPhone spyware can hunt for crypto wallets and extract their data every 15 seconds appeared first on CryptoSlate.

iVerify has identified P7 DarkSword, a new variant of the DarkSword iOS exploit kit active in-the-wild since August 2026. The implant injects into SpringBoard, processes keychain data on-device in JSON format, targets crypto wallets including imToken, and communicates with C2 infrastructure via 15-s

P7 DarkSword Spyware Targets Apple iPhones On October 8, the cybersecurity firm iVerify published a report exposing an iOS spyware variant. This sophisticated malware is dubbed P7 DarkSword. It specifically targets Apple iPhone devices. Furthermore, the malicious software masterfully minimizes its digital footprint. Meanwhile, it maintains remote control communications every 15 seconds. Through this persistent connection, the spyware systematically exfiltrates photographs, personal notes, and arbitrary files.

Tokyo-based payment gateway operator NETSTARS has signed a Memorandum of Understanding with Singapore’s imToken to explore integrating the non-custodial Web3 wallet with NETSTARS’ "Stablecoin Pay" infrastructure. The initiative aims to advance real-world stablecoin adoption at physical retail locations in Japan and examine broader expansion opportunities across Asia. The proposed collaboration seeks to connect imToken’s non-custodial wallet—which currently serves over 20 million users across 150 countries—with NETSTARS’ "StarPay-X" gateway concept. If implemented, the integration would allow domestic users and international travelers in Japan to complete everyday in-store merchant transactions using stablecoins. * **NETSTARS Context:** Building on its "StarPay" multi-cashless platform, NETSTARS launched "Stablecoin Pay" in July 2026 to support payments across multiple blockchains, wallets, and coins. This was followed by an August 2026 point-of-sale proof-of-concept trial at Lawson retail stores utilizing USDC, USDT, and JPYC. * **imToken Context:** Established in 2016, the Series-B blockchain technology firm provides non-custodial wallet services supporting multiple networks, including Bitcoin and Ethereum. * **Agreement Scope:** The MOU serves as a framework to evaluate potential integration and market opportunities; it does not constitute a formal commitment to launch a specific commercial service. * * * Netstars Unveils ‘StarPay-X’ Gateway to Integrate Web3 Finance into Mainstream RetailNetstars, a leading provider of multi-cashless payment solutions, has launched “StarPay-X,” a gateway concept designed to bridge the gap between traditional Web2 payment infrastructure and the emerging Web3 financial ecosystem. The initiative represents a critical step for Netstars as it seeks to transition from a QR-code paymentJapan FinTech ObserverNorbert Gehrke

Netstars has formed a memorandum of understanding with imToken to explore collaboration on stablecoin payment integration for retail in Japan.

ネットスターズとimTokenが基本合意を結び、実店舗でのステーブルコイン決済実現に向けて協業を進める意義と展望を探る記事です。

株式会社ネットスターズとimTokenが基本合意書を締結し、ステーブルコイン決済の普及に向けた協業を進める。日本国内を中心に実店舗での導入が期待される。

CryptoMarket and Blockchain News

imToken adds support for Stable, enabling USDT-based gas fees and faster cross-border payments, expanding multi-chain stablecoin usability for everyday Web3.

imToken is a secure and simple crypto wallet company based in Singapore. It offers multi-chain asset management and DApp browsing, and was founded in 2016.

Discover imToken, a secure crypto wallet supporting leading digital currencies like BTC, ETH, LTC, DOT, FIL, KSM, and more. Trusted by 12M+ users worldwide.

Mais de vinte aplicativos disfarçados de carteiras de criptomoedas populares foram encontrados na App Store em março de 2026. Os apps passaram pelos filtros da Apple e chegaram a aparecer no topo dos resultados de busca, o que por si só já reduz a desconfiança do usuário. A descoberta foi feita pela Kaspersky, que identificou 26 aplicativos imitando carteiras como MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken e Bitpie. Todos os casos foram reportados à Apple, e parte dos apps já foi removida. ## Lacuna no mercado chinês abriu espaço para o golpe O esquema aproveita uma restrição do mercado chinês. Muitos apps oficiais de carteiras cripto estão indisponíveis para usuários com Apple ID configurado para a região da China. Golpistas criaram apps falsos com ícones quase idênticos aos originais e nomes levemente errados, técnica conhecida como typosquatting, para escapar dos filtros da loja. Busca por "ledger live" na App Store chinesa retorna três apps falsos antes do aplicativo legítimo da Ledger Enterprise, destacado em verde. Os nomes dos impostores variam levemente, como "LeddgerLive" e "LeddgerNew", técnica clássica de typosquatting. Imagem: Kaspersky. Em alguns casos, o app não tinha nenhuma relação visual com criptomoedas. Mesmo assim, exibia banners afirmando que a carteira oficial estava indisponível e oferecia um substituto para download. Ao abrir o app, o usuário era redirecionado para uma página no navegador que simulava a aparência da App Store. A partir daí, o golpe usava perfis de provisionamento empresarial para instalar versões infectadas das carteiras no dispositivo. Esse recurso foi criado pela Apple para que empresas distribuam apps internamente, sem passar pela loja oficial. É um mecanismo legítimo, mas que golpistas já usam há anos para distribuir malware fora dos controles da loja. Resultados de busca por "tokenpocket" na App Store chinesa mostram dois apps falsos no topo, ambos com ícones idênticos ao original e textos afirmando ser o download oficial da carteira. Imagem: Kaspersky. ## O que o malware faz depois de instalado Em hot wallets, carteiras que armazenam as chaves privadas diretamente no dispositivo, o malware substitui métodos legítimos do código original por versões maliciosas. Basicamente, ele monitora a tela em que o usuário digita a frase de recuperação, extrai as palavras, criptografa os dados com RSA e os envia para um servidor controlado pelos atacantes. No caso da Trust Wallet, a técnica foi diferente. Os atacantes inseriram uma seção executável diretamente no código principal do app, criando funções que sequestram os métodos acionados quando o usuário tenta restaurar ou criar uma carteira. O resultado é o mesmo, a seed phrase vai parar nas mãos dos criminosos. ## O ataque à Ledger segue outra lógica A Ledger é uma cold wallet. As chaves privadas ficam em um dispositivo físico separado, nunca exposto à internet. Como não há seed phrase digitada diretamente no app, o malware recorreu a phishing dentro da própria interface. Banner promocional de um app falso da TokenPocket alega que usuários na China estão impedidos de acessar aplicativos financeiros de terceiros e convida o usuário a baixar o "software oficial" por ali mesmo. Imagem: Kaspersky. Foram encontradas duas versões infectadas da Ledger Live. Em uma delas, o app exibia uma notificação falsa exigindo uma verificação de segurança. Ao clicar, o usuário via uma página que imitava o visual do app com precisão, inclusive com autocomplete das palavras da frase de recuperação, para parecer mais legítima. A segunda versão atuava diretamente no código-fonte do app, escrito em React Native. Isso dispensava bibliotecas específicas para cada sistema operacional e permitia reaproveitar o módulo malicioso em Android. A Kaspersky também identificou versões comprometidas de carteiras Android distribuídas pelas mesmas páginas de phishing, embora nenhuma tenha sido encontrada na Google Play Store. App falso da Ledger na App Store chinesa e, ao lado, a tela de instalação do perfil de provisionamento empresarial acionado após o clique — o mecanismo usado para instalar a versão infectada no dispositivo da vítima. Imagem: Kaspersky. ## Campanha ativa desde o fim de 2025 Metadados do malware indicam que a campanha estava em operação pelo menos desde o outono de 2025, funcionando por meses sem ser detectada. Embora o foco inicial sejam usuários na China, os módulos maliciosos não têm restrições regionais. Algumas variantes adaptam automaticamente o idioma das notificações de phishing conforme o idioma configurado no dispositivo. A Kaspersky aponta uma possível ligação entre os responsáveis por essa campanha e os criadores do Trojan SparkKitty. Alguns dos apps infectados continham módulos do SparkKitty, ambas as campanhas usam páginas de phishing que imitam a App Store e os logs internos do malware estão escritos em chinês. Os produtos Kaspersky detectam a ameaça como HEUR:Trojan-PSW.IphoneOS.FakeWallet.* e HEUR:Trojan.IphoneOS.FakeWallet.*. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

探討以太坊帳戶抽象如何解決傳統 EOA 帳戶的安全與使用門檻問題，透過社交恢復、Gas 代付等功能，讓 Web3 體驗更貼近大眾，實現真正的自我主權與便利性的平衡。 （前情提要：為何V神如此看重帳戶抽象？開啟Web3應用之門的密鑰 ） （背景補充：帳戶抽象關鍵》EIP-3074 如何讓以太坊變更簡單，開啟智能合約錢包？ ） 11 月 13 日，Vitalik Buterin 宣布簽署《無需信任...

Socket’s Threat Research Team has discovered a malicious Google Chrome extension named “lmΤoken Chromophore” that actively steals cryptocurrency wallet credentials. Masquerading as a harmless hex color visualizer, the extension actually impersonates the popular non-custodial wallet brand imToken. Since its launch in 2016, imToken has served more than 20 million customers globally, making it a highly lucrative target for phishing campaigns. The official imToken team has warned users that their platform is strictly a mobile application and they have never released a Chrome extension. However, this malicious add-on lures victims by mirroring the trusted visual identity of the brand. Its true objective is to trick victims into handing over their 12 or 24-word seed phrases or plaintext private keys, which results in an immediate wallet takeover. Published on February 2, 2026 by Socket’s Threat Research Team , the extension masks its danger behind fake five-star reviews and a fraudulent privacy policy claiming no data collection. ​ Phishing Workflow and Evasion Tactics Upon installation, the extension completely ignores its advertised color-picking functionality. Instead, it acts as a lightweight redirector. Its background code automatically fetches a target website from a hardcoded remote endpoint hosted on JSONKeeper. It then opens a new browser tab directed to the attacker’s infrastructure. This setup allows the threat actors to easily change the phishing destination at any time without having to update the extension code in the Chrome Web Store. ​ The final step opens the real  token.im  site as a decoy after the wallet secret has already been collected. (Source: Socket) The initial redirect sends victims to a deceptive phishing domain named  chroomewedbstorre-detail-extension[.]com . To bypass automated security scanners and trick manual reviewers, the attackers use mixed-script Unicode homoglyphs. By replacing standard Latin letters with visually identical Cyrillic and Greek characters in both the page title and the import path, the attackers easily evade simple text-matching detection systems. ​ Once on the phishing page, victims see a fraudulent wallet import interface powered by external JavaScript files like  sjcl-bip39.js  and  wordlist_english.js . The site prompts users to input their secret mnemonic seed phrase or private key. To maintain the illusion of legitimacy after harvesting the sensitive data, the workflow asks users to set a local password and displays a fake “upgrading” loading screen. Finally, the attack sequence redirects the victim to the official  token.im  website, minimizing suspicion while the attackers secretly drain the compromised accounts. ​ Remediation and Threat Indicators Security teams must scrutinize browser extensions with the same rigor applied to traditional third-party software. Organizations are strongly advised to restrict extension installations in sensitive browser profiles. Users should always verify all wallet software through official vendor distribution channels. If any user has entered a seed phrase, private key, or wallet password into a suspected phishing page , they must treat the wallet as completely compromised and immediately rotate their funds to new, secure keys. Security tools should monitor for extensions whose primary behaviour is to fetch remote content and open external destinations. ​ Security analysts should integrate the following Indicators of Compromise (IOCs) into their detection pipelines to block this threat: Malicious Extension ID:  bbhaganppipihlhjgaaeeeefbaoihcgi ​ Publisher Email Address:  liomassi19855@gmail[.]com ​ Primary Phishing Landing Page:  chroomewedbstorre-detail-extension[.]com ​ Remote Configuration Payload:  jsonkeeper[.]com/b/KUWNE ​ Malicious Script Infrastructure:  compute-fonts-appconnect.pages[.]dev Follow us on Google News , LinkedIn , and X for daily cybersecurity updates. Contact us to feature your stories. The post Malicious imToken Chrome Extension Caught Stealing Mnemonics and Private Keys appeared first on Cyber Security News .