無料VPSサービスを装ったキャンペーンが、iOS 18.4〜18.6.2を搭載しSafariを利用するiPhoneユーザーを狙っている。SlowMistによると、悪意あるサイトevent[.]polarnode[.]vipは隠しiframeを通じてスクリプトを読み込み、WebKitのリモートコード実行、GPUおよびmediaplaybackdのサンドボックス脱出、カーネルの読み書き機能を組み合わせた、6件のCVEによる「DarkSword」攻撃チェーンを展開する。この活動では、アプリケーションファイルやKeychainデータを再帰的に収集できるほか、imToken、TokenPocket、TronLinkのいずれかがフォアグラウンドで開かれている場合、キーボード入力を記録することも可能である。Appleは6件すべての脆弱性にパッチを適用しており、今回のキャンペーンはn-day脆弱性チェーンの再利用に当たる。ページを訪問しただけでは、ニーモニックフレーズや秘密鍵が盗まれたことは証明できず、端末のフォレンジック調査が必要である。SlowMistは、ユーザーに対しiOS/iPadOS 18.7.3または26.3以降へのアップグレードと、wyincc.com、polarnode.vip、ポート36887のブロックを推奨した。