Huntress の研究者は、macOS ユーザーを標的とした ClickFix 攻撃が、暗号通貨ウォレットを空にし、ブラウザのパスワード、Apple iCloud Keychain、キャッシュ認証情報を盗む Go 製マルウェアを配布していることを確認した。攻撃チェーンは、Terminal アプリに貼り付けられた ClickFix コマンドから始まり、Bash プロファイル/ローダーを実行してシステム情報を収集し、続いて CPU アーキテクチャに適合した Mach-O ペイロードを取得する。マルウェアは、ユーザーにシステム認証情報の入力を求めて権限昇格を試み、ウォレットに残高がある場合は、攻撃者が管理するウォレットへ送金する。
マルウェアは Bitcoin、Litecoin、Dogecoin、Monero、Ethereum、Ripple の XRP など複数の暗号通貨を対象とした DRAIN 機能を備えている。これらの機能はウォレット残高の一定割合を算出し、全額ではなく一部のみを転送するよう設計されている。Huntress の研究者は、この機能自体は新しくないが、初めてマルウェアがウォレット全額ではなく一部だけを抜き取ることを確認したと述べた。