La app FomoPeek para iOS usaba un exploit de kernel para robar claves de cripto

Una app de iPhone para seguir monederos llamada FomoPeek contenía código oculto capaz de burlar el sandbox de aplicaciones de Apple y robar claves privadas, frases semilla y credenciales de acceso, según la firma de seguridad blockchain SlowMist y el equipo de seguridad de OKX. Binance ya ha advertido a los usuarios de iPhone y iPad que eliminen la aplicación.

Qué se encontró

FomoPeek se presentaba como una herramienta de solo lectura para observar los movimientos de grandes monederos "ballena" en Ethereum, Solana y Tron. El análisis de SlowMist de las versiones 1.1 y 1.2 halló dos módulos ajenos a ese propósito declarado, uno de los cuales contenía un framework de explotación del kernel de iOS con varios métodos para atacar distintos modelos de iPhone y versiones de iOS, abarcando desde iOS 12 hasta la línea 26.x. Cuando la explotación tenía éxito, la app podía escapar del sandbox, descifrar datos de Keychain y extraer claves privadas, frases de recuperación, credenciales de acceso y archivos de otras aplicaciones. Los investigadores comprobaron que el código se conectaba activamente a servidores remotos, no que estuviera inactivo.

Cómo se propagó

En lugar de publicidad en la App Store, FomoPeek creció a través de influencers de criptomonedas, comunidades de Telegram y Discord, y un sistema de recompensas por referidos con código de invitación. Los frameworks dañinos se eliminaron en la versión 1.3, publicada el 17 de septiembre de 2026, tras las divulgaciones.

Qué deben decir los servicios de asistencia de MSP a los usuarios

• Comprueben las apps instaladas en busca de FomoPeek, o de cualquier aplicación no reconocida, y elimínenla de inmediato.
• No la reinstalen, ni siquiera después de la actualización: traten como sospechoso cualquier dispositivo que la haya tenido alguna vez.
• Actualicen iOS a la versión vigente; los parches periódicos de Apple cierran los fallos subyacentes explotados.
• Si el dispositivo contenía claves de monedero o frases semilla, creen un monedero nuevo en un dispositivo distinto y limpio y muevan los fondos, preferiblemente a un monedero de hardware.
• Deriven cualquier fraude relacionado con cuentas o tiendas de aplicaciones al exchange o proveedor de monedero del usuario.

Para las flotas que gestionan iPhone en nombre de clientes, esto es un recordatorio de mantener los inventarios de dispositivos móviles lo bastante actualizados como para enviar rápidamente un aviso de eliminación de apps cuando aparezca un riesgo con nombre propio como este.

Fuentes: crypto.news, CCN.