Mobile Apps und iOS‑Exploits: Private Keys in Gefahr

Der FomoPeek‑Fall zeigt eine Verschärfung der Bedrohungslage für Krypto‑Nutzer auf mobilen Geräten. Sicherheitsfirmen wie SlowMist und das OKX‑Security‑Team fanden heraus, dass die FomoPeek‑Versionen 1.1 und 1.2 einen iOS‑Kernel‑Exploit‑Framework enthielten, das auf acht unterschiedlichen Exploit‑Methoden beruhte. Laut Analyse umfasste die Abdeckung der Frameworks Geräte mit iOS 12.0–18.7.2 und 26.0–26.1. Gelingt ein Exploit, konnte die Schadsoftware der Sandbox entkommen, Keychain‑Daten entschlüsseln und auf Daten anderer Anwendungen zugreifen — darunter private Keys, Seed‑Phrasen, Zugangsdaten, Chatverläufe und lokal gespeicherte Dateien.

Untersucht wurde außerdem, dass die bösartigen Module nicht nur latent waren, sondern aktiv mit externen Infrastrukturen kommunizierten und Fernbefehle empfangen konnten, um Exploit‑Ausführung und Häufigkeit zu steuern. Historische App‑Analysen zeigten, dass die zwei schädlichen Module in FomoPeek 1.0 nicht vorhanden waren; sie wurden in Version 1.1 (build 105) am 9. September eingeführt, in 1.2 (build 110) am 12. September beibehalten und in 1.3 (build 111) am 17. September entfernt. Entscheidend ist, dass die betroffenen 1.1‑ und 1.2‑Builds über den offiziellen Apple App Store verteilt wurden.

Marktteilnehmer und Sicherheitsanbieter reagierten mit konkreten Empfehlungen: Binance, SlowMist und OKX rieten betroffenen iPhone‑ und iPad‑Nutzern, die App zu entfernen, nicht erneut zu installieren, das Betriebssystem auf die neueste verfügbare Version zu aktualisieren und neue Wallets ausschließlich auf Geräten zu erzeugen, auf denen FomoPeek nie installiert war. Assets, die möglicherweise von den Versionen 1.1 oder 1.2 betroffen waren, sollten auf die neu erzeugten Adressen transferiert werden. Anwender, die ungewöhnliche Aktivität feststellen, wurden aufgefordert, das betroffene Gerät und relevante Beweise zu sichern, bevor sie den Kundensupport kontaktieren.

FomoPeek reiht sich in eine Reihe mobiler Kampagnen ein, die gezielt Krypto‑Zugangsdaten sammeln. Frühere Fälle umfassen die BOM‑App, die angeblich mehr als 13.000 Wallets kompromittierte und etwa 1,82 Millionen US‑Dollar an Verlusten verursachte, sowie Spyware‑Familien wie SparkKitty und SparkCat, die Bilder mit OCR auf Seed‑Phrasen untersuchten. Berichte erwähnen ebenfalls mehrere gefälschte Wallet‑Apps in offiziellen Stores; eine gefälschte Ledger‑App wurde mit rund 9,3 Millionen Dollar Diebstahl in Verbindung gebracht, und in einem Fall verlor eine Person etwa 5,9 BTC, nachdem sie ihre Recovery‑Phrase in eine betrügerische Anwendung eingegeben hatte. Im Gegensatz zu bloßen Imitationen zeigt FomoPeek, wie Angreifer OS‑Ebene‑Exploits nutzen können, um Informationen aus anderen Anwendungen zu extrahieren, ohne dass Nutzer ihre Phrasen aktiv einfügen müssen.

Die Kernbotschaft lautet: Auch „nur lesende“ oder nützliche Apps können gefährlich sein, wenn sie Kernel‑Exploits tragen. Schutzmaßnahmen umfassen System‑Hygiene, strikte physische und logische Isolation von Schlüsseln, Erzeugung von Schlüsseln nur auf sauberen Geräten, Minimierung von Hot‑Wallet‑Beständen und regelmäßiges Widerrufen unnötiger Berechtigungen. FomoPeek macht deutlich, dass App‑Store‑Vertrauen und soziale Empfehlungen keine ausreichende Sicherheit bieten, wenn Angreifer technische Exploits mit Social‑Engineering‑Strategien kombinieren.