Кражи строятся на комиссиях. Перевод USDT в сети TRON требует оплаты в TRX, а у многих держателей USDT этой монеты почти нет. Поэтому злоумышленники платили комиссию сами: кошелёк для комиссий или его сборщик отправлял адресу жертвы несколько TRX, и через секунды весь баланс USDT уходил на кошелёк-сборщик. В одном случае 25 октября между поступлением 18 TRX и кражей прошло 18 секунд.
По данным Bitquery, за месяц сеть из 43 сборщиков забрала не менее $4,06 млн USDT. Те же злоумышленники опустошили ещё 65 кошельков в восьми других сетях, от Ethereum до Solana, — не менее $103 тыс. Один кошелёк, которым пользовались с апреля 2024 года, 28 октября опустошили на шести сетях за 17 минут.
Владелец iPhone рассказал сайту cpa.rip, что 15 октября открыл видео в Safari, нажал на рекламу и был перенаправлен на другую страницу. Bitquery сопоставила его рассказ с цепочкой переводов: в 07:29:48 по UTC адрес отправил 16 428 USDT, а через 12 секунд ушёл остаток TRX. Блокчейн не показывает ни телефон, ни приложение, поэтому к iOS привязан только этот эпизод.
Google Threat Intelligence Group описывает DarkSword как полную цепочку эксплойтов для iOS 18.4–18.7 из шести уязвимостей. С ноября 2025 года её применяли несколько коммерческих поставщиков слежки и предполагаемых государственных групп. Cpa.rip и владелец iPhone подозревают DarkSword, но для остальных краж Bitquery атрибуции не приводит.
В примечаниях Apple к iOS 18.7.7 DarkSword назван напрямую. Обновление вышло 24 марта 2026 года, а 1 апреля его доступность расширили для автоматических обновлений. По словам Apple, исправления, связанные с этим эксплойтом, впервые вышли в 2025 году. Google сообщает, что все уязвимости цепочки закрыты в iOS 26.3. По анализу кода SlowMist рабочими оказались окна iOS 18.6–18.7.2 и iOS 26.0–26.1, хотя набор заявляет поддержку iOS 13 и новее.
6 ноября Binance Wallet напомнила пользователям обновить iOS, не открывать незнакомые сайты и не хранить скриншоты seed-фразы в «Фото» или «Заметках».
Bitquery не нашла уязвимости в приложении Trust Wallet. Она не смогла ни подтвердить, ни опровергнуть сообщение в X от 4 ноября о потере $1,1 млн пользователями Trust Wallet: в посте не было адресов. По меткам Bitquery часть пострадавших действительно пользовалась Trust Wallet: три опустошённых кошелька использовали смарт-аккаунт, связанный с контрактом этого приложения. По нескольким кошелькам, однако, нельзя судить, каким приложением пользовалось большинство жертв.
Сумма $4,06 млн — нижняя граница. Bitquery учитывала только адреса, у которых один платёж забрал весь USDT, и только сборщиков с денежной связью с одним кошельком комиссий. Отчёт cpa.rip, по подсчёту Bitquery, называет $7,88 млн и 66 сборщиков, но методика у него другая.
