在这场被命名为 DarkSword 的攻击里，自托管长期以来的安全感被撕开了一个肉眼可见的缺口。攻击者并没有从熟悉的钓鱼签名或恶意授权入手，而是抓住了 iOS 18 的底层缺陷，将攻击入口埋进 Safari 浏览器：用户只要打开受感染网站，哪怕没有连接钱包、没有签过任何一笔交易，恶意代码也能在后台静默运行，直指密码库、文件、照片，最终伸向加密钱包的私钥和助记词。据多方报道，本次事件中被盗加密资产总额约为 557 万美元，至少 20 多个钱包地址或钱包遭到波及，有单一来源称背后涉及至少 18 个恶意网站。直到 2026 年 11 月 6 日 CZ 公开发文提醒用户警惕通过 Safari 链接发动的 DarkSword 零交互攻击，并强调没有任何钱包软件可以替你更新操作系统时，加密世界才集体意识到：很多人以为自己掌控了一切的自托管，其实是建立在一个他们从未认真审视过的系统层脆弱基础之上。
DarkSword 零交互攻击链还原
在安全研究员的还原中，DarkSword 做的第一件事，是把原本只存在于 iOS 18 深层代码里的缺陷，打包成一套操作门槛极低的漏洞利用工具包。攻击者只需要把 DarkSword 预设好的恶意载荷挂在网站上，当用户用 Safari 打开这些受感染页面时，底层缺陷被自动触发，恶意代码在后台悄无声息地落地执行。对攻击者而言，这几乎就是“一键部署”：选好目标站点，配置好脚本，剩下的就是等流量上门。
所谓“零交互”，致命之处就在这里。整个过程不要求用户下载新应用，不要求连接任何钱包，不会弹出签名授权或权限确认窗口，甚至不需要刻意点击页面上的某个按钮——仅仅是用 Safari 访问了那几个恶意网站，iOS 设备里保存的密码、照片、文件，就已经开始被后台打包外传。对持有自托管加密钱包的用户来说，更危险的是，加密钱包的私钥和助记词同样在被扫描和窃取的范围之内，这意味着一旦命中 DarkSword 攻击链，你失去的不是某个账号，而是整套数字身份和资产控制权。多位安全研究员和 KOL 在监测到这一利用方式后先后发出预警，因为这条几乎隐形的攻击链，才是撕开自托管安全幻觉的真正刀锋。
自托管神话被戳破的钱包边界
DarkSword 把刀直接捅在了很多人不愿正视的那条线：钱包是应用，私钥却活在系统里。长期以来，大量用户把“自己掌握私钥”简单等同于“已经安全”，仿佛只要不用托管平台，风险就被隔绝在链下世界之外。可这次被打穿的，是 iOS 18 的底层缺陷，而不是某个具体钱包的代码，攻击通过一个 Safari 链接、一个受感染网页就能完成埋点，说明真正决定你资产生死的，往往是你以为理所当然安全的那层操作系统。
2026 年 11 月 6 日，CZ 出面提醒用户尽快更新 iOS，特别是长期不更新系统的人，并点破了这层误解：任何钱包软件都无法替用户更新操作系统，自托管意味着你不仅要对助记词负责，还要对运行环境的安全负责。DarkSword 事件清晰划出了应用层与系统层的防护边界——钱包可以尽力守住签名逻辑，却管不了内核已经被攻陷的事实，一旦系统被攻破，私钥和助记词照样会在后台被端走，自托管模型里被忽视的这一层，才是很多人此前根本没有纳入安全假设的致命缺口。
链上受害画像：被盯上的地址
一旦系统层被DarkSword 打穿，私钥和助记词变成纯粹的“明文战利品”，随之出现的就是一串彼此并不相识的链上受害者。据多方报道统计，本次事件加密资产损失被估算在约 557 万美元左右，而有单一来源称，至少有 20 多个钱包地址或钱包被卷入这场攻击，同一来源还提到至少 18 个恶意网站参与其中。这意味着，DarkSword 不是精准追杀某一个富钱包或单一目标，而是在较长一段时间里，通过多个受感染站点，对一批分散的 iOS 自托管用户完成了“批量收割”，每一个地址在链上只是一个孤立的被盗节点，叠加起来才显露出这起事件的真实尺度。
值得注意的是，现阶段公开材料中既没有完整的受害地址名单，也没有披露这些地址的资产构成，我们无法确认它们在仓位规模、持币品类或链上行为上是否存在共性。同样，尚无证据表明某一特定钱包应用被定向单独攻击，所有将责任指向某款具体钱包的软件归因，目前都缺乏链上与系统层证据的支撑。对研究者和用户而言，这只是一张轮廓初现的受害画像：我们知道损失是多地址、多钱包的分散受损，却还看不清这些地址背后究竟连接着怎样的用户群体和风险习惯，后续能否从更多链上细节中补全这张图，将决定这场攻击究竟被记作偶发事故，还是一次系统性安全教训。
安全社区预警与平台自救
在零散受害地址被拼成一张模糊受害地图的同时，信息开始沿着另一条链路外溢。2026 年 11 月 6 日，CZ 在公开渠道罕见点名 iOS，提醒用户“尽快更新系统，尤其是长期没更新的设备”，并强调 DarkSword 只需要一个看似普通的 Safari 链接就能完成攻击，这是典型的零交互场景。原本只在安全研究圈流转的“iOS 18 底层缺陷+Safari 入口”技术预警，被这条提醒翻译成一句普通用户听得懂的警告：更新系统，别乱点链接。
顺着这条信号，多位安全研究员和 KOL 很快放大了同一个主题：DarkSword 正在利用 iOS 18 底层缺陷，对持有自托管钱包的 iOS 用户构成现实威胁。主流平台和社区一边转发相关提醒，一边把防护建议简化为几条操作层面的“最低行动纲领”——尽快安装系统更新、暂时避免点击来路不明的 Safari 链接、持续关注安全预警账户的后续提示。与信息扩散速度形成对比的是，公开信息中依然没有任何关于攻击者身份、具体恶意网站域名或苹果官方技术通告的细节，整场风险识别几乎完全依赖这些第三方监测与口碑信任搭起来的预警网络能否覆盖到足够多的终端用户。
下一轮攻击前你能补的课
这次 DarkSword 事件已经把课本摊开了，接下来能立刻做的，其实都是很“无聊”的基础动作：第一，把所有承载自托管钱包的 iOS 设备尽快升级到最新可用版本，别再把“长期不更新系统”的习惯带进资产密钥的场景里；第二，把设备用途做物理分层——一台手机专门放少量、日常用的钱包和常用 App，另一台（或一台平板）只放高价值钱包与核心助记词，尽量不用于浏览网页，尤其是在 iOS 18 和 Safari 零交互利用还没有被官方完全修补之前；第三，把“看到链接就点”“什么网站都敢开”的冲动压下去，即便是熟人转发的 Safari 链接，也要假设背后可能藏着像 DarkSword 这样可以在后台扫走密码、照片、文件和加密资产的工具包。更重要的一层认知是：自托管只是“资产托管方式”的选择，它解决的是谁掌握私钥的问题，但这次 557 万美元的损失证明，如果承载私钥的设备本身不安全，“自托管”这层保护会被一刀切穿——正如 CZ 所提醒的，任何钱包软件都无法替你更新操作系统，你得同时为“资产托管方式”和“设备安全状况”负责。往前看，还有三条变量需要持续盯紧：DarkSword 是否出现更隐蔽的变种、苹果对 iOS 18 底层缺陷和 Safari 零交互攻击面的修补节奏，以及这次事件能否真正改变自托管用户的更新习惯和日常操作纪律，而这三者的交点，基本就决定了下一次类似攻击还能不能轻易在二十多个钱包地址上复现同样的悲剧。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到[email protected]，本平台相关工作人员将会进行核查。
