App iOS FomoPeek usou um exploit do kernel para roubar chaves de carteiras de criptomoedas

Uma app de monitorização de carteiras para iPhone chamada FomoPeek continha código oculto capaz de sair da sandbox de aplicações da Apple e roubar chaves privadas, frases-semente e credenciais de início de sessão, segundo a empresa de segurança de blockchain SlowMist e a equipa de segurança da OKX. A Binance entretanto alertou os utilizadores de iPhone e iPad para removerem a app.

O que foi encontrado

A FomoPeek apresentava-se como uma ferramenta só de leitura para acompanhar movimentos de grandes carteiras "baleia" na Ethereum, Solana e Tron. A análise da SlowMist às versões 1.1 e 1.2 encontrou dois módulos sem relação com essa finalidade declarada, um dos quais continha uma framework de exploração do kernel do iOS com vários métodos para explorar diferentes modelos de iPhone e versões do iOS, abrangendo do iOS 12 até à linha 26.x. Quando a exploração era bem-sucedida, a app conseguia escapar à sandbox, desencriptar dados da Keychain e extrair chaves privadas, frases de recuperação, credenciais de início de sessão e ficheiros pertencentes a outras apps. Os investigadores descobriram que o código estava a ligar-se ativamente a servidores remotos, e não inativo.

Como se propagou

Em vez de publicidade na App Store, a FomoPeek cresceu através de influenciadores de criptomoedas, comunidades no Telegram e no Discord e um sistema de recompensas por referência com códigos de convite. As frameworks ofensivas foram removidas na versão 1.3, lançada a 17 de setembro de 2026, após as divulgações.

O que os helpdesks de MSP devem dizer aos utilizadores

• Verifiquem as apps instaladas à procura da FomoPeek, ou de qualquer app não reconhecida, e apaguem-na imediatamente.
• Não a reinstalem, mesmo depois da atualização — tratem qualquer dispositivo que alguma vez a tenha tido como suspeito.
• Atualizem o iOS para a versão atual; as correções periódicas da Apple fecham os bugs explorados subjacentes.
• Se o dispositivo continha chaves de carteira ou frases-semente, criem uma nova carteira num dispositivo separado e limpo e movam os fundos, de preferência para uma carteira de hardware.
• Encaminhem qualquer fraude relacionada com contas ou com a loja de aplicações para a exchange ou o fornecedor da carteira do utilizador.

Para frotas que gerem iPhones em nome de clientes, isto é um lembrete para manter os inventários de dispositivos móveis suficientemente atualizados para emitir rapidamente um aviso de remoção de apps quando surge um risco identificado como este.

Fontes: crypto.news, CCN.