A FomoPeek, uma aplicação maliciosa para iPhone distribuída através da App Store da Apple, foi associada ao roubo de quase 580.000 dólares em USDT depois de as versões 1.1 e 1.2 integrarem ferramentas capazes de escapar à sandbox das aplicações do iOS. Investigadores da SlowMist e da OKX identificaram funcionalidades de comando e controlo e uma estrutura de exploração do kernel com oito métodos de ataque adaptados ao modelo de iPhone e ao sistema operativo da vítima. A Salus estimou os ganhos dos atacantes em cerca de 579.900 USDT.
Porque é importante
A exploração poderia aceder ao Keychain da Apple, a ficheiros mantidos por outras aplicações, a chaves privadas, frases-semente e credenciais de início de sessão, sem exigir que os utilizadores ligassem uma carteira ou introduzissem esses dados na FomoPeek. A aplicação era promovida como um monitor apenas de leitura para grandes transações em Ethereum, Solana e Tron, o que torna a sua presença na loja oficial da Apple especialmente relevante para os utilizadores de criptoativos que dependem do isolamento entre aplicações.
A versão 1.1 da FomoPeek foi lançada em 9 de setembro e a versão 1.2 em 12 de setembro. Os componentes maliciosos foram removidos na versão 1.3, em 17 de setembro, mas apagar a aplicação ou atualizar o iOS não pode invalidar credenciais que já tenham sido copiadas.
Impacto no mercado
A Salus rastreou 401.028 USDT através de endereços intermediários até à FixedFloat, enquanto outros fundos foram encaminhados para uma hot wallet da KuCoin, uma plataforma de escrow e o serviço de mistura CCE. O incidente motivou alertas da Binance, OKX, Gate, Bitget Wallet e Rabby.
Os utilizadores afetados estão a ser aconselhados a remover a FomoPeek, atualizar o iOS e transferir os fundos para carteiras recém-criadas em dispositivos onde a aplicação nunca tenha sido instalada. O caso também põe em causa a ideia de que um iPhone dedicado a criptoativos é automaticamente seguro: o isolamento do dispositivo oferece proteção limitada quando o software instalado consegue comprometer o sistema operativo.
Perguntas frequentes
-
Como era apresentada a FomoPeek antes de ser descoberto o código malicioso?
A FomoPeek era apresentada como uma ferramenta apenas de leitura para acompanhar grandes transações de criptomoedas em Ethereum, Solana e Tron.
-
Que versões da FomoPeek continham os componentes maliciosos?
Os investigadores encontraram os componentes maliciosos nas versões 1.1 e 1.2. Estes foram removidos na versão 1.3.
-
Que informações poderia a exploração do iPhone expor?
A exploração poderia aceder a dados do Keychain da Apple, chaves privadas, frases-semente, credenciais de início de sessão e ficheiros de outras aplicações.
-
A quanto USDT associaram os investigadores o ataque?
A Salus estimou os ganhos dos atacantes em cerca de 579.900 USDT, ou quase 580.000 dólares.
-
O que devem fazer os utilizadores que instalaram a FomoPeek?
Devem remover a FomoPeek, atualizar o iOS e transferir os ativos para carteiras recém-criadas num dispositivo onde a aplicação nunca tenha sido instalada. Apagar a aplicação não pode invalidar credenciais copiadas.
CoinDesk
CoinTelegraph
WatcherGuru
Crypto News
Lookonchain
TheBlock
WuBlockchain