FomoPeek kon iOS-sandbox omzeilen en wallets leegroven

Blockchainbeveiliger SlowMist koppelt de malafide iOS-app FomoPeek aan een diefstal van bijna 580.000 USDT, nadat onderzoek samen met securityspecialisten van OKX uitwees dat versies 1.1 en 1.2 van de app via Apple’s App Store werden verspreid en de iOS-sandbox konden omzeilen. Het gaat om een op onderzoek gebaseerde koppeling; een juridische schuldvaststelling is er vooralsnog niet.

Hoe FomoPeek de iOS-beveiliging kon omzeilen

FomoPeek werd op de markt gebracht als read-only tool om grote cryptotransacties op Ethereum, Solana en Tron te volgen. SlowMist startte het onderzoek nadat gebruikers meldden dat hun activa waren gestolen na blootstelling van private keys, in samenwerking met securityonderzoekers van OKX.

De onderzoekers vonden in versies 1.1 en 1.2 twee modules die geen verband hielden met de geadverteerde monitoringfuncties. Eén module communiceerde met externe command-and-control-infrastructuur; de andere bevatte een kernel-exploitframework met acht aanvalsmethoden die zich konden aanpassen aan het iPhone-model en de geïnstalleerde iOS-versie.

Een succesvolle exploit kon volgens SlowMist-oprichter Yu Xian de iOS-sandbox doorbreken en toegang krijgen tot Keychain-gegevens en bestanden van andere apps, waaronder lokaal opgeslagen private keys, seed phrases en inloggegevens. Dat kon zonder dat gebruikers hun wallet hoefden te koppelen of gegevens rechtstreeks in FomoPeek moesten invoeren.

De on-chain route van de gestolen USDT

Blockchain-analysebureau Salus identificeerde het adres 0x6d37f2C5e8F8546b648D317295565dA95975f4BB als de aanvaller en schat de opbrengst van het incident op ongeveer 579.900 USDT. Volgens Salus liep 401.028 USDT via drie tussenadressen naar de wisseldienst FixedFloat, terwijl nog eens 20.000 USDT via twee depositoadressen in een KuCoin-hotwallet terechtkwam.

Een ander deel van 111.458 USDT werd geleid via een adres dat Salus koppelt aan een escrowplatform, en 10.000 USDT passeerde de mixingdienst CCE voordat het bij adressen belandde die eveneens aan een escrowdienst zijn gelinkt. Salus meldt bovendien aanwijzingen dat dezelfde groep betrokken was bij een aparte private-keydiefstal in juni, al is nog niet vastgesteld of daarbij dezelfde techniek is gebruikt – een patroon dat doet denken aan de Waterplum-malwarecampagne, waarbij aanvallers eveneens ogenschijnlijk legitieme software combineerden met technische exploits om wallets leeg te halen.

Waarschuwingen aan cryptogebruikers

De omvang van de exploit heeft geleid tot waarschuwingen van meerdere cryptoplatforms, waaronder Binance, OKX, Gate, Bitget Wallet en Rabby. Binance stelt dat de kwaadaardige code in FomoPeek-versies 1.1–1.2 iOS-kwetsbaarheden kan misbruiken om de hoogste toegangsrechten op een apparaat te verkrijgen, waardoor gevoelige gegevens van alle apps op een besmet toestel toegankelijk kunnen worden.

De platforms adviseren unaniem om FomoPeek te verwijderen, iOS bij te werken en tegoeden over te zetten naar nieuw aangemaakte wallets op een apparaat waarop de app nooit heeft gestaan. Dat laatste is nodig omdat het verwijderen van de app of het patchen van het besturingssysteem een private key die al is gekopieerd niet ongeldig maakt, een risico dat ook meespeelt bij eerdere phishingcampagnes gericht op wallet-inloggegevens.

Wat onderzoekers nog volgen

Salus blijft de adressen volgen die aan de resterende opbrengsten zijn gekoppeld, terwijl Binance en andere platforms stortingen monitoren die kunnen helpen bij het traceren of beperken van de verdere verplaatsing van de gestolen USDT. Onderzoekers proberen ondertussen de bredere blootstelling in kaart te brengen en te bepalen of dezelfde groep of techniek betrokken was bij de eerdere diefstal in juni.