מטפלות באפל בפגיעות המאיימות על ארנקים קריפטוגרפיים ללא צורך בלחיצות

ב-25 באוגוסט 2025, חברת אפל הוציאה עדכון אבטחה דחוף לטיפול בפגיעות קריטית מסוג"אפס-קליקים" (CVE-2025-43300) במסגרת Image I/O שלה. הפגם אפשר עיבוד קבצי תמונה ממותאמים שיכלו לגרום לכתיבה מחוץ לתחום הזיכרון ולהרצת קוד שרירותי ללא צורך באינטראקציה מצד המשתמש. סוג זה של ניצול, שמסווג לעיתים כפגיעות"אפס-קליקים", מסוכן במיוחד למחזיקי מטבעות קריפטוגרפיים, שכן הוא יכול לשמש לפגיעה באפליקציות ארנק ולגישה למפתחות פרטיים המאוחסנים במכשיר.

ההודעה של אפל ציינה שיש ראיות לניצול הפגיעות בתקיפות מתוחכמות בעולם האמיתי נגד יעדים בעלי ערך גבוה. הפלטפורמות המושפעות כוללות את iOS 18.6.2, iPadOS 18.6.2 ו-17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 ו-Ventura 13.7.8. החברה שיפרה את בדיקת הגבולות בספריית Image I/O כדי לתקן ליקויים בטיפול בזיכרון שאפשרו כתיבות מחוץ לטווח המורשה.

מומחי אבטחה מזהירים כי טבע הפגיעות מסוג"אפס-קליקים" מבטל את הדרישה לאקטיבציה שמבוססת על משתמש, כמו פתיחת מסמך או לחיצה על קישור. במקום זאת, גורמים זדוניים יכולים להטמיע מטענים מזיקים בתוך מטא-דאטה של תמונות המופצות דרך פלטפורמות מסרים כמו iMessage. עם קבלת התמונה, שגרת הצגת התמונות האוטומטית במכשיר מעבדת את הנתונים המזיקים, מה שמוביל לפגיעה במכשיר וגניבת מידע רגיש – כולל פרטי ארנק קריפטו, ביטויים לשחזור ואסימוני אימות להחלפות.

חוליאנו ריצו, מייסד חברת אבטחת הסייבר Coinspect, הדגיש את הסיכון המוגבר למשתמשי נכסים דיגיטליים. הוא המליץ ליעדים בעלי ערך גבוה להחליף מפתחות פרטיים מיד ולשנע את הנכסים לארנקים חומרתיים. למשתמשים כלליים, אפל המליצה על התקנת העדכונים במהירות ואימות גרסאות התוכנה המותקנת, תוך אזהרה שעיכוב בטיפול עלול להשאיר את המכשירים חשופים להתקפות נוספות.

ספקית האנליטיקה בבלוקצ’יין CertiK הדגישה כי פגיעות דומות מסוג"אפס-קליקים" נוצלו בעבר על ידי שחקני סייבר ממשלתיים בקמפיינים קודמים. הפגם החדש של אפל מדגיש את הצורך במחקר מתמשך ובפרקטיקות גילוי פרואקטיביות. זהו ששת הפגיעות מסוג זירו-דיי שטופלו על ידי אפל בשנת 2025, שיא המשקף יכולות מתקדמות של מתנגדים בשטח.

ארגונים המטפלים בפעולות קריפטו בהיקפים גדולים מתבקשים לערוך ביקורות יסודיות על מכשירים, לאכוף מדיניות עדכונים מחמירה ולבחון פתרונות הגנת איומים ניידים שיכולים לזהות התנהגויות חריגות המעידות על ניצול"אפס-קליקים". מפתחי תוכנה באקוסיסטם הקריפטו מומלצים גם לבודד תהליכי ארנק ולהקטין את משטחי התקיפה באמצעות הפרדת פעולות חתימה קריטיות מקוד האפליקציה הכללי.

עם הפצת התיקון כעת, אפל חידשה את מחויבותה לטיפול מהיר בפגיעויות ושיתוף פעולה עם קהילת מחקר האבטחה. המשתמשים מופנים לערוצי התמיכה של אפל לקבלת הוראות עדכון והנחיות נוספות לאבטחת מכשירים ונכסים דיגיטליים בנוף האיומים המתפתח.