FomoPeek应用植入恶意代码窃取钱包私钥

区块链安全机构慢雾（SlowMist）创始人余弦（Cos）9月19日发出警告，一款名为FomoPeek的iOS应用被发现植入恶意SDK，已导致部分iPhone用户加密货币钱包资产被盗。

公开信息显示，FomoPeek于今年8月28日注册域名（fomopeek.com），9月7日通过苹果App Store审核正式上线，最初以"只读型"巨鲸钱包追踪工具自居，宣称可监控Solana、以太坊及波场（TRON）等公链上的大额钱包动向，并在应用描述中明确承诺"不执行交易、不托管资金、不收集存款"。然而9月13日，该应用1.1至1.2版本被植入两个隐藏模块，其中之一是一套完整的iOS内核攻击框架。

据慢雾及OKX安全团队联合披露，该攻击框架集成8种不同的漏洞利用方案，可根据设备型号及系统版本自动选择攻击路径，已知可影响iOS 12.0至18.7及26.0至26.1版本，覆盖几乎所有仍在使用的iPhone设备。攻击成功后，该应用可突破iOS沙盒隔离机制，读取并解密系统钥匙串（Keychain），进而访问设备上其他应用的数据文件，用户存储的私钥、助记词、登录凭据、聊天记录及文件等均面临泄露风险；该应用还会定期连接与公开业务无关的隐蔽服务器，接收远程指令，相关攻击功能在调查期间仍处于活跃状态。

慢雾方面表示，已收到多起用户资产被盗报告，经追踪确认，每一起案例均与使用受感染版本App、导致私钥泄露有关；币安钱包（Binance Wallet）也同步扩散警示，强调设备一旦被攻陷，受影响的不仅是加密钱包类应用，而是设备上存储的全部数据。9月20日，该应用已从各应用商店下架，相关域名的DNS解析服务也已下线，从域名注册到彻底下线，整个操作周期约23天。截至目前，具体被盗资产总金额尚未被公开披露。

余弦在警示中特别提醒，由于此类攻击手法已呈泛滥趋势，iPhone用户切勿下载来源不明的应用，并应及时将系统更新至最新版本（目前为iOS 27），但他同时强调，系统更新并不代表未来不会出现新的风险，"攻防对抗永远在升级"。

从风险与资金流向角度看，此类攻击选择伪装成"只读型"工具上架苹果官方应用商店，本质上是利用了苹果审核机制对"只读、无交易权限"类应用的相对宽松审查尺度，先以正常版本通过审核积累下载量和用户信任，再通过后续版本更新植入恶意代码——这是一条绕过应用商店安全审查、将攻击成本转嫁给终端用户资产安全的典型路径；受害用户的私钥、助记词一旦泄露，链上资产可被攻击者直接、不可逆地转移，且由于加密资产交易的匿名性和不可撤销性，追回难度远高于传统金融欺诈，这也是安全机构在事发后需要联合交易所、钱包服务商紧急扩散警示、而非依赖苹果单方面下架处理的核心原因。

来源：公开信息