FomoPeek-iOS-App nutzte Kernel-Exploit zum Diebstahl von Krypto-Wallet-Schlüsseln

Forschende fanden Schadcode in einer Wallet-Tracking-iOS-App, der Apples Sandbox aushebeln und Keychain-Daten, private Schlüssel und Seed-Phrasen entwenden konnte. Binance rät Nutzern, die App zu entfernen und Gelder zu bewegen.

In diesem Artikel

Was entdeckt wurde
Wie sich die App verbreitete
Was MSP-Helpdesks Nutzern raten sollten

Eine iPhone-App zur Wallet-Beobachtung namens FomoPeek enthielt versteckten Code, der Apples App-Sandbox aushebeln und private Schlüssel, Seed-Phrasen und Anmeldedaten stehlen konnte, wie das Blockchain-Sicherheitsunternehmen SlowMist und das Sicherheitsteam von OKX mitteilten. Binance hat iPhone- und iPad-Nutzer inzwischen aufgefordert, die App zu entfernen.

Ein silber-schwarzes iPhone liegt schräg auf einer schlichten weißen Oberfläche, der Bildschirm ist eingeschaltet — Foto: SimonWaldherr (CC BY-SA 4.0), Wikimedia Commons.

Was entdeckt wurde

FomoPeek gab sich als Nur-Lese-Werkzeug aus, um größere „Whale“-Wallet-Bewegungen auf Ethereum, Solana und Tron zu beobachten. Die Analyse der Versionen 1.1 und 1.2 durch SlowMist fand zwei Module, die mit diesem angegebenen Zweck nichts zu tun hatten; eines davon enthielt ein iOS-Kernel-Exploitation-Framework mit mehreren Methoden für unterschiedliche iPhone-Modelle und iOS-Versionen von iOS 12 bis zur 26.x-Reihe. Gelang die Ausnutzung, konnte die App die Sandbox verlassen, Keychain-Daten entschlüsseln sowie private Schlüssel, Wiederherstellungsphrasen, Anmeldedaten und Dateien anderer Apps abziehen. Die Ermittler stellten fest, dass der Code aktiv Verbindungen zu entfernten Servern aufbaute und nicht untätig blieb.

Wie sich die App verbreitete

Statt über App-Store-Werbung verbreitete sich FomoPeek über Krypto-Influencer, Telegram- und Discord-Communitys sowie eine Empfehlungsprämie mit Einladungscodes. Die schädlichen Frameworks wurden in Version 1.3 entfernt, die nach der Offenlegung am 17. September 2026 erschien.

Was MSP-Helpdesks Nutzern raten sollten

Installierte Apps auf FomoPeek und andere unbekannte Apps prüfen und sofort löschen.
Die App nicht erneut installieren, auch nach dem Update nicht – jedes Gerät, auf dem sie je installiert war, als verdächtig einstufen.
iOS auf die aktuelle Version aktualisieren; Apples regelmäßige Patches schließen die zugrunde liegenden ausgenutzten Schwachstellen.
Wenn auf dem Gerät Wallet-Schlüssel oder Seed-Phrasen gespeichert waren, eine neue Wallet auf einem separaten, sauberen Gerät erstellen und Gelder dorthin verschieben, vorzugsweise auf eine Hardware-Wallet.
Zugehörige Konto- oder App-Store-Betrugsfälle an die Kryptobörse oder den Wallet-Anbieter des Nutzers eskalieren.

Für Geräteflotten, die iPhones im Kundenauftrag verwalten, ist dies eine Erinnerung, den Mobilgerätebestand so aktuell zu halten, dass sich beim Bekanntwerden eines solchen namentlich genannten Risikos schnell eine Empfehlung zum Entfernen der App ausspielen lässt.

Quellen: crypto.news, CCN.