一项伪装成免费VPS服务的活动正通过Safari攻击运行iOS 18.4至18.6.2的iPhone用户。SlowMist表示，恶意网站event[.]polarnode[.]vip通过隐藏iframe加载脚本，并部署由6个CVE漏洞组成的DarkSword攻击链，结合WebKit远程代码执行、GPU和mediaplaybackd沙箱逃逸以及内核读写能力。该活动能够递归收集应用文件和Keychain数据，并在imToken、TokenPocket或TronLink处于前台打开状态时捕获键盘输入。苹果已修复全部6个漏洞，因此该活动属于对n-day漏洞链的复用。仅访问该页面并不能证明助记词或私钥已被窃取；这需要对设备进行取证分析。SlowMist建议用户升级至iOS/iPadOS 18.7.3或26.3及更高版本，并拦截wyincc.com、polarnode.vip和36887端口。