iPhone加密货币应用隐藏恶意代码，攻击者钱包获利58万美元

FomoPeek 如何携恶意代码进入 App Store

安装 FomoPeek 用于监控加密货币钱包的用户，可能已泄露存储在其他 iPhone 应用中的数据。区块链安全公司 SlowMist 在 9 月 20 日发布的威胁情报分析报告中指出，在通过 Apple App Store 分发的 1.1 和 1.2 版本中发现了恶意模块。

FomoPeek 自称是一款“只读的链上监控和警报工具”，无需用户连接钱包或提供助记词。 但据SlowMist称，该描述掩盖了能够绕过iPhone安全防护、从其他应用中收集信息并将其发送至远程服务器的代码。在收到资产被盗和私钥泄露的报告后，该公司与OKX安全团队展开了调查。

为确定哪些下载版本携带了该恶意代码，调查人员对比了 FomoPeek 在 App Store 发布的各个版本。该应用及两个恶意模块均由同一 Apple 开发者身份签名，且下载文件保留了 App Store 的加密记录。这一证据表明，这些模块存在于官方发布的应用中，而非下载后被篡改的版本中。

SlowMist 还追踪资金流向，锁定了一个被认定为攻击者主要地址的钱包。该地址于 9 月 15 日开始活跃，并通过多个区块链网络共接收了 579,984.34 USDT，在 SlowMist 发布报告时，资金仍在持续流入。 调查人员通过兑换交易和其他地址追踪了资金流向。该金额为该钱包的总收款额，并非通过FomoPeek窃取的加密货币的确认总额。

调查人员测试该应用时的发现

随后，SlowMist 分析了这些隐藏模块的运作机制。其中一个模块从 Bitbucket 获取了一个加密的服务器地址，向其发送了 iPhone 相关信息，并请求指令。该服务器可以选择要收集的数据，并控制应用是否尝试对设备进行攻击。

在观察测试过程中，服务器已关闭漏洞利用功能。研究人员在隔离环境中启用该功能，以检查后续步骤。随后，该应用收到了一份针对19款钱包和记事应用的列表。调查人员捕获了Apple Notes数据容器的上传数据，解密了网络流量，并还原了从测试设备发送的存档文件。 这些发现仅展示了代码在激活时可能执行的操作，但并未确定其从其他用户手机中收集了哪些数据。该应用的代码中包含一个名为 DarkSwordStrategy 的攻击策略，其名称与 Google 威胁情报组（Google Threat Intelligence Group）于 3 月记录的 iOS 漏洞利用链“DarkSword”相同。

这对于加密货币钱包构成了直接威胁：攻击者一旦获取私钥或恢复短语，即可访问由其控制的资产。此前关于“DarkSword”的报道曾提及SlowMist的警告，指出攻击者可能利用iOS漏洞获取私钥。而FomoPeek通过在App Store的官方版本中植入恶意模块，又增添了一层新的隐患。

受影响的版本及对现有钱包的风险

SlowMist在9月9日发布的FomoPeek 1.1版和9月12日发布的1.2版中发现了这些模块。1.0版中未发现这些模块，而9月17日发布的1.3版中已将其移除。 任何使用过上述受影响版本的用户，即使在删除或更新应用后仍可能面临风险，因为已传输的信息无法通过卸载应用来恢复。其他来自 App Store 的欺诈性下载也通过不同方式使加密货币资产面临风险。7 月，三名投资者声称因在伪造的 Sparrow Wallet 应用中输入恢复短语而遭受损失。 在该案例中，用户是直接提供了相关信息；而FomoPeek的隐藏代码则被设计为收集其自身应用范围之外的数据。一名调查人员还将一款假冒的Ledger应用与4月份报告的加密货币盗窃案联系起来。Ledger和Sparrow这两起案件都涉及假冒钱包应用。 FomoPeek 看似是一款监控工具，因此其用户没有明确理由会预料到它会访问手机上其他位置存储的私人信息。 SlowMist 建议 FomoPeek 1.1 和 1.2 版本的用户，将存储在这些设备上的助记词、私钥和敏感凭据视为可能已泄露的信息。 尽管冷存储能将密钥离线保管，但该公司当即建议用户在从未运行过受影响应用的安全设备上创建新钱包，并将可能已泄露密钥的钱包中的资产转移至新钱包。