FomoPeek iPhoneアプリに仮想通貨ウォレットの鍵を盗むiOSエクスプロイトキットが発見される

iPhone用のウォレット追跡アプリに、Appleのセキュリティサンドボックスを突破し、感染したデバイスから暗号資産の認証情報を抽出するように設計された悪意のあるコードが含まれていたことが、ブロックチェーンセキュリティ企業SlowMistの警告によって明らかになった。

Solana、Ethereum、TRONにわたるクジラウォレットを監視するツールとして販売されていたFomoPeekには、宣伝されている機能とは無関係な2つの隠しモジュールが含まれていたと、SlowMistが9月19日に出した資産盗難アラートで述べた。同社はOKXのセキュリティチームとの共同調査の結果、バージョン1.1と1.2を報告された暗号資産盗難に関連付けた。

この開示は、週末にかけて発生したいくつかの無関係な事件とともに、暗号資産セキュリティにとって激動の期間を締めくくるものとなった。Blinkは攻撃者がカストディアルアカウントから資金を流出させたためサービスを一時停止し、Fetch.aiとNuNetは別の$2 millionの不正流出に見舞われた。

8つの攻撃手法がiOSカーネルを標的に

FomoPeekに埋め込まれた悪意のあるモジュールの1つには、8つの異なる攻撃手法を持つiOSカーネルエクスプロイトフレームワークが含まれており、異なるデバイスモデルやオペレーティングシステムのバージョンに適応することが可能だった。SlowMistは、影響を受ける範囲をiOS 12.0から18.7、およびiOS 26.0から26.1に及ぶと特定した。

エクスプロイトが成功すると、コードはアプリケーションのサンドボックスから脱出し、Keychain情報を復号して他のアプリに属するデータを読み取ることができた。流出した可能性のある資料には、秘密鍵、リカバリーフレーズ、ログイン資格情報、チャット記録、およびデバイスに保存されているその他のファイルが含まれていた。

研究者によって捕捉されたネットワークトラフィックは、アプリが通常のインフラ外部のサーバーと通信していることを示した。悪意のある機能はアクティブであり、デバイス上で休止しているのではなく、定期的に自動実行されるよう構成されていた。

ユーザーに対し、侵害された認証情報の破棄を指示

Binance Walletは、影響を受けたユーザーに対してガイダンスを発行した。FomoPeekを削除し、デバイスを最新のiOSバージョンにアップデートし、アプリを再インストールしないこと。

より重要なこととして、侵害されたiPhoneで暗号資産ウォレットを保存またはアクセスした人は、FomoPeekを実行したことがないクリーンなデバイスで新しいウォレット認証情報を生成し、残りの資金を新しいアドレスに移動する必要がある。

アプリを削除するだけでは、すでに抽出された秘密鍵やリカバリーフレーズを保護することはできない。それらの認証情報を保持している者は誰でも、元のiPhoneに再びアクセスすることなく、別の場所でウォレットを再作成し、取引を承認することができる。

不正な取引を発見したユーザーは、証拠をすぐに消去するのではなく、調査のために影響を受けたデバイスと取引記録を保存するようアドバイスされた。

SlowMistは、FomoPeekを通じて盗まれた総額や侵害されたデバイスの総数を明らかにしていない。同社の9月19日の調査では、リリースされたバージョンにアプリの通常のサンドボックス外にある機密データにアクセスできる機能が含まれていることが確認され、バージョン1.1と1.2を報告された盗難に関連付けた。

セキュリティ会社は、いずれかのバージョンをインストールした、または以前に使用したことがある人に対し、直ちに資産の動きを確認するよう促した。また、FomoPeekの継続的な使用を控えるよう助言し、脅威が完全に解決された後にのみアプリケーションを再インストールすることを推奨した。