Geavanceerde iPhone-exploit ‘Coruna’ steelt seed phrases van cryptowallets

Beveiligingsonderzoekers van Google hebben een nieuwe exploitkit ontdekt die zich specifiek richt op iPhone-gebruikers. De tool, genaamd Coruna, maakt misbruik van kwetsbaarheden in oudere iOS-versies om seed phrases van cryptowallets te stelen. Wie die herstelwoorden in handen krijgt, heeft volledige toegang tot de wallet en alle cryptovaluta die erin zit.

23 exploits en 5 aanvalsketens ontdekt

Volgens de Google Threat Intelligence Group bevat Coruna vijf complete aanvalsketens en in totaal 23 verschillende exploits, waaronder kwetsbaarheden die nog niet eerder publiekelijk bekend waren. De tool richt zich op iPhones met iOS-versies tussen 13.0 en 17.2.1.

Google ontdekte de kit voor het eerst in februari 2025. Het gebruik werd aanvankelijk gekoppeld aan een vermoedelijke Russische spionagegroep die aanvallen uitvoerde op Oekraïense doelwitten via gecompromitteerde websites. De exploit werd selectief verspreid en was uitsluitend gericht op iPhone-gebruikers uit bepaalde regio’s.

Nepwebsites doen zich voor als cryptobeurzen

Later in 2025 dook dezelfde technologie op bij een groot aantal nepwebsites uit China. Veel daarvan deden zich voor als financiële platforms of cryptodiensten, waaronder een pagina die de cryptobeurs WEEX imiteerde.

Wanneer een iPhone-gebruiker zo’n website bezoekt, wordt de exploitkit automatisch geladen. De software probeert vervolgens seed phrases te verzamelen en checkt of er populaire crypto-apps als MetaMask en Uniswap op het toestel staan om zo digitale activa buit te maken.

Mogelijk ontwikkeld voor de Amerikaanse overheid

Google noemt geen naam van het bedrijf waar de exploitkit vandaan komt. Maar volgens het beveiligingsbedrijf iVerify wijst de complexiteit van de software op betrokkenheid van de Amerikaanse overheid. Medeoprichter Rocky Cole stelde tegenover WIRED dat de ontwikkeling waarschijnlijk miljoenen dollars heeft gekost en dat delen van de code overeenkomen met eerder aan de overheid toegeschreven projecten.

Cybersecuritybedrijf Kaspersky plaatst daar kanttekeningen bij. Een hoofdonderzoeker verklaarde dat er geen duidelijk bewijs is dat de code aan dezelfde ontwikkelaars kan worden gekoppeld.

Update je iPhone zo snel mogelijk

De exploitkit werkt niet op de nieuwste iOS-versie. Google adviseert iPhone-gebruikers om hun toestel zo snel mogelijk te updaten. Wie dat niet kan, kan de Lockdown Mode van Apple inschakelen, een beveiligingsfunctie die speciaal is ontwikkeld om geavanceerde cyberaanvallen te beperken.