Mobile Apps und iOS‑Exploits: Private Keys in Gefahr

Der FomoPeek‑Fall zeigt eine Verschärfung der Bedrohungslage für Krypto‑Nutzer auf mobilen Geräten. Sicherheitsfirmen wie SlowMist und das OKX‑Security‑Team fanden heraus, dass die FomoPeek‑Versionen 1.1 und 1.2 einen iOS‑Kernel‑Exploit‑Framework enthielten, das auf acht unterschiedlichen Exploit‑Methoden beruhte. Laut Analyse umfasste die Abdeckung der Frameworks Geräte mit iOS 12.0–18.7.2 und 26.0–26.1. Gelingt ein Exploit, konnte die Schadsoftware der Sandbox entkommen, Keychain‑Daten entschlüsseln und auf Daten anderer Anwendungen zugreifen — darunter private Keys, Seed‑Phrasen, Zugangsdaten, Chatverläufe und lokal gespeicherte Dateien.

Untersucht wurde außerdem, dass die bösartigen Module nicht nur latent waren, sondern aktiv mit externen Infrastrukturen kommunizierten und Fernbefehle empfangen konnten, um Exploit‑Ausführung und Häufigkeit zu steuern. Historische App‑Analysen zeigten, dass die zwei schädlichen Module in FomoPeek 1.0 nicht vorhanden waren; sie wurden in Version 1.1 (build 105) am 9. September eingeführt, in 1.2 (build 110) am 12. September beibehalten und in 1.3 (build 111) am 17. September entfernt. Entscheidend ist, dass die betroffenen 1.1‑ und 1.2‑Builds über den offiziellen Apple App Store verteilt wurden.

Marktteilnehmer und Sicherheitsanbieter reagierten mit konkreten Empfehlungen: Binance, SlowMist und OKX rieten betroffenen iPhone‑ und iPad‑Nutzern, die App zu entfernen, nicht erneut zu installieren, das Betriebssystem auf die neueste verfügbare Version zu aktualisieren und neue Wallets ausschließlich auf Geräten zu erzeugen, auf denen FomoPeek nie installiert war. Assets, die möglicherweise von den Versionen 1.1 oder 1.2 betroffen waren, sollten auf die neu erzeugten Adressen transferiert werden. Anwender, die ungewöhnliche Aktivität feststellen, wurden aufgefordert, das betroffene Gerät und relevante Beweise zu sichern, bevor sie den Kundensupport kontaktieren.

FomoPeek reiht sich in eine Reihe mobiler Kampagnen ein, die gezielt Krypto‑Zugangsdaten sammeln. Frühere Fälle umfassen die BOM‑App, die angeblich mehr als 13.000 Wallets kompromittierte und etwa 1,82 Millionen US‑Dollar an Verlusten verursachte, sowie Spyware‑Familien wie SparkKitty und SparkCat, die Bilder mit OCR auf Seed‑Phrasen untersuchten. Berichte erwähnen ebenfalls mehrere gefälschte Wallet‑Apps in offiziellen Stores; eine gefälschte Ledger‑App wurde mit rund 9,3 Millionen Dollar Diebstahl in Verbindung gebracht, und in einem Fall verlor eine Person etwa 5,9 BTC, nachdem sie ihre Recovery‑Phrase in eine betrügerische Anwendung eingegeben hatte. Im Gegensatz zu bloßen Imitationen zeigt FomoPeek, wie Angreifer OS‑Ebene‑Exploits nutzen können, um Informationen aus anderen Anwendungen zu extrahieren, ohne dass Nutzer ihre Phrasen aktiv einfügen müssen.

Die Kernbotschaft lautet: Auch „nur lesende“ oder nützliche Apps können gefährlich sein, wenn sie Kernel‑Exploits tragen. Schutzmaßnahmen umfassen System‑Hygiene, strikte physische und logische Isolation von Schlüsseln, Erzeugung von Schlüsseln nur auf sauberen Geräten, Minimierung von Hot‑Wallet‑Beständen und regelmäßiges Widerrufen unnötiger Berechtigungen. FomoPeek macht deutlich, dass App‑Store‑Vertrauen und soziale Empfehlungen keine ausreichende Sicherheit bieten, wenn Angreifer technische Exploits mit Social‑Engineering‑Strategien kombinieren.

Safari‑Zero‑Day und Darksword‑Ausweitung

Die neuen Meldungen erweitern die bisherige Darstellung um zwei Punkte: SlowMist warnt vor einer Safari/WebKit‑Zero‑Day‑Ausnutzung, die nach ihrer Einschätzung iOS 13 bis 26.5 betreffen und heimlich private Schlüssel sowie mnemonische Wiederherstellungsphrasen exfiltrieren kann, und SlowMist meldet zudem, dass die Darksword‑Exploit‑Kette offenbar an iOS 26.5 angepasst worden sein könnte. Beide Warnungen beschreiben denselben Angriffsablauf: eine bösartige Webseite in Safari nutzt eine Speicherfehler‑Lücke in JavaScriptCore/WebKit, um einen Fuß in die Tür zu bekommen, umgeht Pointer Authentication, bricht aus der Sandbox aus und eskaliert bis auf Kernel‑Ebene, wodurch der Zugriff auf den iOS‑Keychain möglich wird. Der CTO von Ledger verbreitete die Warnung weiter, SlowMists CISO forderte sofortige Systemupdates und Vorsicht beim Öffnen unbekannter Links.

Diese Hinweise ergänzen frühere technische Analysen von Google, die Darksword gegen iOS 18.4–18.7 dokumentierten und konkrete gepatchte Schwachstellen (darunter CVE‑2025‑43529 in JavaScriptCore) benannten; SlowMists Behauptung dehnt die potenzielle Betroffenheit aus, ist für iOS 26.5 jedoch noch nicht von Apple oder Google bestätigt. Neu hinzu kommen außerdem nennenswerte finanzielle Schäden aus App‑Store‑Betrug: In einer US‑Klage werden rund 1,835,000 USD an Bitcoin‑Verlusten genannt, und eine weitere gefälschte Ledger‑App steht im Zusammenhang mit etwa 9,5 Millionen USD Diebstahl. Die praktischen Empfehlungen bleiben bestehen — iOS aktualisieren, verdächtige Links meiden und bei Verdacht die Schlüssel auf einem sauberen Gerät neu erzeugen — doch die neuen Meldungen vergrößern den Umfang der betroffenen Versionen und nennen konkrete Schadenssummen.