FomoPeek iOS-app använde en kernelexploit för att stjäla kryptoplånboksnycklar

En plånboksövervakande iPhone-app kallad FomoPeek innehöll dold kod som kunde bryta sig ur Apples applikationssandlåda och stjäla privata nycklar, seed-fraser och inloggningsuppgifter, enligt blockkedjesäkerhetsföretaget SlowMist och OKX säkerhetsteam. Binance har sedan dess varnat iPhone- och iPad-användare för att ta bort appen.

Vad som hittades

FomoPeek framställde sig som ett skrivskyddat verktyg för att följa stora "val"-plånboksrörelser på Ethereum, Solana och Tron. SlowMists analys av versionerna 1.1 och 1.2 hittade två moduler utan koppling till det angivna syftet, varav en innehöll ett ramverk för iOS-kernelexploatering med flera metoder för att utnyttja olika iPhone-modeller och iOS-versioner, från iOS 12 till 26.x-serien. Där exploateringen lyckades kunde appen ta sig ur sandlådan, dekryptera Keychain-data och hämta privata nycklar, återställningsfraser, inloggningsuppgifter och filer som tillhörde andra appar. Utredarna fann att koden aktivt anslöt till fjärrservrar, inte låg vilande.

Så spreds den

I stället för annonsering i App Store växte FomoPeek genom kryptoinfluencers, Telegram- och Discord-gemenskaper samt ett belöningssystem med inbjudningskoder för hänvisningar. De skadliga ramverken togs bort i version 1.3, som släpptes 2026-09-17, efter avslöjandena.

Vad MSP-helpdeskar bör säga till användare

• Kontrollera installerade appar efter FomoPeek, eller någon oigenkännlig app, och radera den omedelbart.
• Installera inte om den, inte ens efter uppdateringen – behandla alla enheter som någonsin haft den som misstänkta.
• Uppdatera iOS till den aktuella versionen; Apples regelbundna patchar täpper igen de underliggande utnyttjade buggarna.
• Om enheten innehöll plånboksnycklar eller seed-fraser, skapa en ny plånbok på en separat, ren enhet och flytta tillgångarna, helst till en hårdvaruplånbok.
• Eskalera all relaterad konto- eller appbutiksbedrägeri till användarens börs- eller plånboksleverantör.

För flottor som hanterar iPhones åt kunder är detta en påminnelse om att hålla mobila enhetsinventarier tillräckligt aktuella för att snabbt kunna skicka ut en rådgivning om appborttagning när en namngiven risk som denna dyker upp.

Källor: crypto.news, CCN.