FomoPeek應用植入惡意代碼竊取錢包私鑰
區塊鏈安全機構慢霧（SlowMist）創始人餘弦（Cos）9月19日發出警告，一款名爲FomoPeek的iOS應用被發現植入惡意SDK，已導致部分iPhone用戶加密貨幣錢包資產被盜。
公開信息顯示，FomoPeek於今年8月28日註冊域名（fomopeek.com），9月7日通過蘋果App Store審覈正式上線，最初以"只讀型"巨鯨錢包追蹤工具自居，宣稱可監控Solana、以太坊及波場（TRON）等公鏈上的大額錢包動向，並在應用描述中明確承諾"不執行交易、不託管資金、不收集存款"。然而9月13日，該應用1.1至1.2版本被植入兩個隱藏模塊，其中之一是一套完整的iOS內核攻擊框架。
據慢霧及OKX安全團隊聯合披露，該攻擊框架集成8種不同的漏洞利用方案，可根據設備型號及系統版本自動選擇攻擊路徑，已知可影響iOS 12.0至18.7及26.0至26.1版本，覆蓋幾乎所有仍在使用的iPhone設備。攻擊成功後，該應用可突破iOS沙盒隔離機制，讀取並解密系統鑰匙串（Keychain），進而訪問設備上其他應用的數據文件，用戶存儲的私鑰、助記詞、登錄憑據、聊天記錄及文件等均面臨泄露風險；該應用還會定期連接與公開業務無關的隱蔽服務器，接收遠程指令，相關攻擊功能在調查期間仍處於活躍狀態。
慢霧方面表示，已收到多起用戶資產被盜報告，經追蹤確認，每一起案例均與使用受感染版本App、導致私鑰泄露有關；幣安錢包（Binance Wallet）也同步擴散警示，強調設備一旦被攻陷，受影響的不僅是加密錢包類應用，而是設備上存儲的全部數據。9月20日，該應用已從各應用商店下架，相關域名的DNS解析服務也已下線，從域名註冊到徹底下線，整個操作週期約23天。截至目前，具體被盜資產總金額尚未被公開披露。
餘弦在警示中特別提醒，由於此類攻擊手法已呈氾濫趨勢，iPhone用戶切勿下載來源不明的應用，並應及時將系統更新至最新版本（目前爲iOS 27），但他同時強調，系統更新並不代表未來不會出現新的風險，"攻防對抗永遠在升級"。
從風險與資金流向角度看，此類攻擊選擇僞裝成"只讀型"工具上架蘋果官方應用商店，本質上是利用了蘋果審覈機制對"只讀、無交易權限"類應用的相對寬鬆審查尺度，先以正常版本通過審覈積累下載量和用戶信任，再通過後續版本更新植入惡意代碼——這是一條繞過應用商店安全審查、將攻擊成本轉嫁給終端用戶資產安全的典型路徑；受害用戶的私鑰、助記詞一旦泄露，鏈上資產可被攻擊者直接、不可逆地轉移，且由於加密資產交易的匿名性和不可撤銷性，追回難度遠高於傳統金融欺詐，這也是安全機構在事發後需要聯合交易所、錢包服務商緊急擴散警示、而非依賴蘋果單方面下架處理的核心原因。
來源：公開信息
ABAB AI 解讀
通過僞裝成"合規、只讀"工具騙取應用商店審覈通過、再通過後續版本更新植入惡意代碼的手法，在加密貨幣安全領域已有多次先例——攻擊者普遍利用應用商店對"更新版本"審覈相對寬鬆於"首次上架"審覈的機制漏洞，此次FomoPeek從8月28日註冊域名到9月13日植入惡意代碼，僅間隔約半個月，延續的正是這類"先立信任、後植入攻擊"的歷史作案模式。
從攻擊者的資源投入路徑看，構建一套集成8種漏洞利用方案、可自動適配不同設備型號和系統版本的iOS內核攻擊框架，需要相當專業的攻擊技術積累和前期研發投入，這類"專業級"攻擊工具通常不會用於一次性、小規模的詐騙，而是作爲可複用的"攻擊基礎設施"——此次FomoPeek事件後，不排除相同攻擊框架後續會僞裝成其他應用再次出現，攻擊者的資源正沿着"研發攻擊框架—包裝應用外殼—獲利後快速下線換殼"這一路徑循環利用。
這一事件可類比此前多次曝光的"僞錢包""僞工具類"應用商店供應鏈攻擊案例——攻擊者不直接攻擊交易所或錢包服務商的服務器，而是繞道攻擊終端設備本身，通過合法應用商店分發渠道觸達用戶，這種"供應鏈投毒"模式正是當前加密資產安全領域最具隱蔽性和規模化風險的攻擊路徑之一。就行業所處階段而言，隨着iOS設備安全機制（沙盒隔離、鑰匙串加密等）不斷強化，攻擊者也在同步升級繞過手段，雙方目前正處於持續對抗、攻擊工具日趨專業化的階段。
結構判斷：本次事件屬於技術替代。傳統的加密資產盜竊手法多依賴釣魚鏈接、誘導用戶主動泄露助記詞等社會工程學手段，而FomoPeek事件展示的是一種更高階的技術路徑——通過內核級漏洞利用框架直接突破系統安全邊界、自動化竊取密鑰，無需用戶主動"上當"配合，這種以自動化技術攻擊替代傳統社會工程誘導的作案方式轉變，正是本次事件在攻擊手法演進上的核心特徵。
ABAB News · 認知定律
只讀工具，也能變成盜賊。
審覈通過的那天，風險纔剛開始計時。
手機沒更新，等於門沒鎖。