Se for deg at du \u00e5pner en helt vanlig nettside p\u00e5 iPhonen din. Du trykker ikke p\u00e5 noe mistenkelig, du laster ikke ned en app, og du skriver ikke inn et eneste passord. Likevel er kryptolommeboka di t\u00f8mt noen sekunder senere. Det h\u00f8res ut som et skrekkscenario fra en sikkerhetskonferanse, men det er en noks\u00e5 presis beskrivelse av DarkSword, et angrepssett for iOS som Google, mobilsikkerhetsselskapet iVerify og Lookout avsl\u00f8rte i fellesskap i mars 2026.<\/p>
Dette er akkurat den typen angrep Trail of Bits, kryptobransjens mest siterte koderevisor, har brukt \u00e5r p\u00e5 \u00e5 forberede seg p\u00e5. Ikke bare ved \u00e5 skrive revisjonsrapporter, men ved \u00e5 spinne ut et helt eget selskap som jakter p\u00e5 spionvare p\u00e5 telefoner. For norske kryptoeiere flytter det hele sikkerhetssamtalen et godt stykke. HOGE Wire har tidligere forklart hva Trail of Bits er<\/a> og hvordan du leser en revisjonsrapport derfra<\/a>. Denne gangen handler det om noe mer ubehagelig: at revisjonen av smartkontrakten kan v\u00e6re prikkfri, og at pengene likevel forsvinner, rett og slett fordi de aldri forlater kontrakten. De forlater telefonen din.<\/p> En smartkontraktrevisjon dekker kode som er satt ut p\u00e5 en blokkjede. Det er en avgrenset \u00f8velse, og Trail of Bits er selv blant de tydeligste i bransjen p\u00e5 nettopp avgrensningen: en rapport dekker den koden som fantes, innenfor den avtalte rammen, p\u00e5 den dagen gjennomgangen ble gjort. Alt utenfor den rammen er per definisjon ikke revidert. Det gjelder koden som ble lagt til uka etter, og det gjelder alt som aldri var kode i utgangspunktet.<\/p> Problemet er at en vanlig bruker ikke bor inne i smartkontrakten. Brukeren bor p\u00e5 en telefon. Der ligger lommebok-appen, der ligger kanskje et bilde av seed-frasen, og der \u00e5pnes lenkene som kommer inn via Telegram, X og e-post. Pengene styres til syvende og sist av en privatn\u00f8kkel som genereres, lagres og brukes til signering p\u00e5 en dings du b\u00e6rer i lomma. Angriperen bryr seg ikke om hvor revisjonens ramme slutter. Tvert imot: jo hardere selve kontrakten er sikret, jo mer l\u00f8nner det seg \u00e5 flytte ett lag ut, til signeringsenheten, til nettleseren, til mennesket.<\/p> Det er derfor utsagnet \u00abrevidert av X\u00bb alltid har betydd mindre enn folk tror, og hvorfor det i 2026 kan bety nesten ingenting for en vanlig innehaver hvis den reelle eksponeringen ligger i enheten i lomma. Revisjonen er n\u00f8dvendig, men den er ikke tilstrekkelig, og den er som oftest ikke engang rettet mot det stedet der retail-penger faktisk forsvinner. Denne forskjellen, mellom hva som revideres og hvor pengene lever, er hele poenget med artikkelen du leser n\u00e5.<\/p> Trail of Bits ble grunnlagt i New York i 2012, av blant andre Dan Guido (i dag administrerende direkt\u00f8r) og Alexander Sotirov. Selskapet er privateid, uten store venturekapitalrunder, og har vokst p\u00e5 betalte oppdrag og forskningskontrakter. P\u00e5 sin egen om-side<\/a> oppgir firmaet over 940 publikasjoner, mer enn 620 offentlige sikkerhetsrevisjoner og over 200 \u00e5pen kildekode-prosjekter. Antallet ansatte varierer mellom kildene, et sted mellom 125 og 140 er den trygge rammen.<\/p> Kundelista er en bransjeoversikt i seg selv: Uniswap, Aave, Compound, MakerDAO, Chainlink, Arbitrum og Solana Foundation p\u00e5 kryptosiden, Zoom p\u00e5 Web2-siden. Verkt\u00f8yene firmaet har gitt bort gratis, som den statiske analysatoren Slither og fuzzeren Echidna (og etterf\u00f8lgeren Medusa), er standardutstyr hos konkurrentene ogs\u00e5. N\u00e5r bransjen omtaler en \u00abgullstandard\u00bb for kodegjennomgang, er det som regel Trail of Bits de mener.<\/p> Men her kommer detaljen som er avgj\u00f8rende for denne historien: blokkjede er bare ett av seks fagfelt hos Trail of Bits. De andre fem er applikasjonssikkerhet, kryptografi, lavniv\u00e5 systemsikkerhet, sikkerhet for AI og maskinl\u00e6ring, og sikkerhet i programvarens forsyningskjede. Firmaet har aldri sett p\u00e5 seg selv som en \u00abSolidity-butikk\u00bb, men som et bredt programvaresikkerhetshus. Nettopp den bredden forklarer hvorfor Trail of Bits var posisjonert til \u00e5 se mobiltrusselen komme f\u00f8r de fleste rene kryptorevisorer.<\/p> iVerify startet som et internt prosjekt i Trail of Bits rundt 2019, f\u00f8rst som et verkt\u00f8y for iPhone, senere ogs\u00e5 for Android. I august 2023, etter om lag fire \u00e5r med inkubering, ble selskapet skilt ut som en selvstendig virksomhet, med en startfinansiering p\u00e5 fire millioner dollar<\/a> ledet av Mischief Ventures. Danny Rogers ble administrerende direkt\u00f8r, og Rocky Cole, en tidligere analytiker i den amerikanske etterretningsorganisasjonen NSA, driftsdirekt\u00f8r.<\/p> Det iVerify gj\u00f8r, er mobil trusseljakt: \u00e5 oppdage og bekjempe det bransjen kaller mercenary spyware, kommersiell overv\u00e5kingsprogramvare, p\u00e5 iOS- og Android-enheter. Kundene er h\u00f8yverdige m\u00e5l, ledere, journalister og forretningsreisende, og etter hvert alle som forvalter store verdier fra en telefon. Logikken bak utspinningen sier mye om hvordan Trail of Bits tenker: revisjonsinntektene finansierer forskning, og forskning som finner et marked utenfor krypto og bedriftssikkerhet, skilles ut som egne selskaper.<\/p> Teknisk er mobil trusseljakt noe annet enn klassisk antivirus. P\u00e5 en l\u00e5st iOS-enhet kan du ikke bare skanne alle filer; i stedet ser iVerify etter mistenkelige artefakter og unormal oppf\u00f8rsel som er kjent fra avanserte spionvareangrep, kombinert med helsesjekker av selve enheten. Det er en erkjennelse av at angrep som DarkSword og Pegasus ikke dukker opp som en tydelig \u00abvirus-fil\u00bb, men som sm\u00e5 avvik: en prosess som ikke burde kj\u00f8re, en innstilling som er endret, et spor etter en sandkasse som ble brutt. Det er den samme detektivtiln\u00e6rmingen Trail of Bits bruker i kodegjennomgang, flyttet over p\u00e5 enheten.<\/p> Men den dypere grunnen er mer interessant. Trail of Bits forsto tidlig at de st\u00f8rste verditapene i praksis ikke skjer gjennom en knekt smartkontrakt, men gjennom en kompromittert enhet, og at ingen smartkontraktrevisjon noensinne vil r\u00f8re den enheten. Dan Guido har i et intervju<\/a> beskrevet drivkraften bak hele firmaet slik: \u00abJeg vil aldri finne den samme feilen to ganger.\u00bb Det er tankegangen bak b\u00e5de verkt\u00f8yene de bygger og selskapene de spinner ut, \u00e5 gj\u00f8re en innsikt varig framfor \u00e5 levere den \u00e9n gang. Og innsikten her er at hvelvet har flyttet inn i lomma.<\/p> DarkSword ble presentert for offentligheten i mars 2026, i en felles avsl\u00f8ring fra Google Threat Intelligence Group (GTIG), iVerify<\/a> og Lookout. Teknisk er det et fullkjede-angrepssett for iOS: det lenker sammen seks s\u00e5rbarheter, tre av dem null-dager (feil som verken var kjent eller rettet da angrepene p\u00e5gikk). Det avgj\u00f8rende ordet er likevel null-klikk. Offeret trenger ikke \u00e5 gj\u00f8re annet enn \u00e5 bes\u00f8ke en kompromittert eller ondsinnet nettside; angrepet leveres gjennom en skjult ramme (iframe) p\u00e5 siden, uten et eneste trykk, nedlasting eller passord.<\/p> Kjeden starter i minnefeil i Safaris JavaScriptCore, omg\u00e5r iPhonens Pointer Authentication Codes (PAC), bryter ut av nettleserens sandkasse via grafikkomponenten ANGLE, og ender med rettigheter helt nede i kjernen (kernel). Fra en helt vanlig nettside til full kontroll over telefonen, p\u00e5 sekunder, uten at brukeren merker noe som helst.<\/p> Og DarkSword er bygget for krypto. Implantatet leter aktivt etter lommebok- og b\u00f8rsapper, Coinbase, Ledger, MetaMask, Phantom og dusinvis til, finner lommebokfilene, og tar samtidig med seg Keychain, filer i iCloud Drive, SMS og iMessage, kontakter, nettleserhistorikk og informasjonskapsler, bilder, anropslogg og data fra meldingsapper. De fleste sammenligninger av lommeb\u00f8ker d\u00f8mmer dem p\u00e5 nettleserutvidelsen, men det er p\u00e5 telefonen folk flest faktisk eier krypto<\/a>, og det er nettopp der DarkSword sl\u00e5r til.<\/p> Apple har rettet hele kjeden (i oppdateringene 18.7.6 og 26.3.1), og angrepet rammet iOS-versjoner fra 18.4 og oppover. To forsvar ville ha stoppet det selv uten ekstra omg\u00e5elser: Lockdown Mode (Begrenset modus) og Memory Integrity Enforcement (MIE) p\u00e5 iPhone 17. iVerify skriver p\u00e5 sin side at alle selskapets apper \u00abkan oppdage aktive DarkSword-infeksjoner\u00bb.<\/p> Det mest talende er likevel hvem som sto bak. GTIG knytter DarkSword til minst tre uavhengige operat\u00f8rer: UNC6353, en antatt russisk spionasjegruppe som rammet ukrainske sivile gjennom vannhull-angrep; UNC6748, som gikk etter brukere i Saudi-Arabia; og PARS Defense, en tyrkisk leverand\u00f8r av kommersiell overv\u00e5kingsprogramvare med dokumenterte oppdrag i Tyrkia og Malaysia. En statlig etterretningsgruppe og en kommersiell spionvareselger som bruker det samme verkt\u00f8yet, det er selve definisjonen p\u00e5 trusselbildet iVerify ble bygget for.<\/p> Like viktig er hvordan DarkSword oppf\u00f8rer seg n\u00e5r det f\u00f8rst er inne. Dette er ikke skadevare som sl\u00e5r seg til ro og lytter i m\u00e5nedsvis; det er et treff-og-stikk-verkt\u00f8y som henter ut det det er ute etter, lommebokfiler, n\u00f8kler og innloggingsdata, og deretter rydder bort sporene etter seg. For et offer betyr det at det nesten ikke finnes noe \u00e5 oppdage i etterkant, og at pengene ofte er borte f\u00f8r noen skj\u00f8nner at telefonen var kompromittert. Nettopp denne kombinasjonen, et verkt\u00f8y som deles mellom statlige og kommersielle akt\u00f8rer og som ikke etterlater tydelige spor, er grunnen til at mobil trusseljakt m\u00e5 lete etter oppf\u00f8rsel og avvik, ikke bare kjente signaturer.<\/p> Den enkleste m\u00e5ten \u00e5 se forskyvningen p\u00e5, er \u00e5 stille angrepstypene ved siden av hverandre og sp\u00f8rre: fanger en smartkontraktrevisjon dette? Svaret er et klart ja bare for den \u00f8verste raden i tabellen under. Jo lenger ned du kommer, jo n\u00e6rmere enheten din havner angrepet, og jo mer forsvinner det ut av revisjonens synsfelt.<\/p>Revisjonen som aldri r\u00f8rer telefonen din<\/h2>
Hvem er Trail of Bits, kort fortalt<\/h2>
Derfor spant Trail of Bits ut iVerify<\/h2>
DarkSword: n\u00e5r nettsiden t\u00f8mmer lommeboka<\/h2>
Angrepet som ikke st\u00e5r i revisjonsrapporten<\/h2>