Apple publica correções de emergência contra uma falha explorada para roubar criptos

Que imaginação desenfreada para aqueles que cobiçam nossas criptos! Cada novo episódio desta longa série digital redesenha os contornos da paranoia tecnológica. A última descoberta? Um simples arquivo de imagem. Sim, uma foto adulterada. O suficiente para transformar seu iPhone em uma peneira de criptos sem que você mexa um dedo. O alvo? Todos que usam produtos Apple… mas principalmente, todos que armazenam suas chaves de carteira em locais inesperados. Felizmente, uma atualização de emergência foi lançada para tentar vedar as brechas.

Quando a Apple se torna o elo fraco da sua segurança 

Emergência sinalizada em novembro: uma falha da Apple colocava suas criptos em risco. Foi em reação a essa ameaça que, em 20 de agosto de 2025, a Apple publicou uma série de correções para iOS, iPadOS e macOS, visando uma falha crítica referenciada CVE-2025-43300. Essa vulnerabilidade no ImageIO permitia que uma imagem maliciosa corrompesse a memória do aparelho. Nenhum clique necessário. Nenhuma abertura requerida.

A Apple reconheceu a existência de um ataque extremamente sofisticado que teve como alvo indivíduos específicos.

Ainda mais preocupante, o processamento da imagem podia ser disparado automaticamente via iMessage ou conteúdos web.

As versões afetadas:

• iOS 18.6.2 / iPadOS 18.6.2;
• macOS Ventura 13.7.8;
• macOS Sonoma 14.7.8;
• macOS Sequoia 15.6.1.

A pontuação CVSS do bug: 8,8/10. A cripto então se torna uma presa fácil para atores maliciosos, e os donos de carteiras móveis estão na linha de frente.

Criptos ao alcance de selfie: quando sua galeria vira um cofre hackeável

Nos últimos anos, sabemos que os cibercriminosos nunca dormem. Mas agora, eles inovam. Ferramentas como SparkCat ou SparkKitty usam OCR para ler suas imagens. O alvo preferido? Frases de recuperação, códigos QR de carteira cripto, endereços copiados/colados.

Uma imagem infectada serve de ponto de ancoragem. Depois, tudo é possível: acessar a galeria, ler as fotos, vasculhar a área de transferência.

Alguns pesquisadores de cibersegurança, como Juliano Rizzo da Coinspect, destacaram que o perigo vem tanto da falha quanto dos nossos maus hábitos. Armazenar sua frase de recuperação em uma captura de tela ou imagem visível é abrir um caminho livre para os malwares acessarem seus ativos. Não se trata mais de hacking, mas de uma simples coleta. As ferramentas maliciosas só precisam extrair o que você deixou à mostra.

O precedente com Blastpass em 2023 já mostrava que uma falha de imagem podia disparar ataques sem clique. O modelo se repete.

Moraleja da história? Se suas criptos dormem num dispositivo móvel Apple, é hora de uma grande revisão: permissões de fotos, acesso à área de transferência e, sobretudo… cold wallet.

O que realmente esconde essa falha da Apple

A falha do ImageIO é apenas a ponta do iceberg. Esse bug crítico, explorado sem clique, ilustra um problema mais profundo: a passividade digital em que nos instalamos. No iOS, certas imagens são processadas automaticamente ao serem recebidas. Uma função prática… até que se torne uma ponte para os atacantes.

A Apple permanece em silêncio sobre o vetor exato, mas especialistas suspeitam de processamento automático via iMessage ou Safari. E enquanto falamos de cripto, todo o ecossistema vira terreno de ataque. Cada falha, cada comportamento do usuário vira oportunidade.

Juliano Rizzo da Coinspect lembra que a ausência de ação do usuário é o que torna esse tipo de ataque temível. Quando um aparelho trabalha para você… ele também pode trabalhar contra você.

E se olharmos os números de 2025, a tendência está longe de tranquilizar.

O que revelam os números de 2025: 

• 7 falhas zero-day detectadas em produtos Apple;
• 16 bilhões de senhas vazadas em um único leak;
• 30 bases de dados massivamente comprometidas;
• 70% das credenciais recuperadas ainda ativas, segundo CyberNews.

Está tudo (temporariamente) sob controle, mas a calmaria não engana ninguém. Enquanto esse ataque cripto foi contido graças às atualizações, outras frentes se abrem. Um leak recente expôs mais de 16 bilhões de senhas, afetando Apple, Google, Facebook. A prova de que a engenhosidade não está apenas nos codificadores… mas também naqueles que coletam seus rastros para melhor te pilhar.