В FomoPeek для iOS обнаружили код для кражи сид-фраз и приватных ключей

FomoPeek крадет сид-фразы и приватные ключи с зараженных устройств, предупредили специалисты SlowMist. Вредоносные компоненты обнаружили в версиях приложения 1.1 и 1.2 для iOS.

Компания начала расследование после нескольких сообщений пользователей о пропаже криптоактивов. Во всех изученных случаях специалисты зафиксировали признаки компрометации приватных ключей.

Расследование проводилось совместно с командой безопасности OKX.

Что обнаружили внутри FomoPeek

FomoPeek позиционируется как сервис для отслеживания крупных криптовалютных кошельков и получения уведомлений об ончейн-активности.

В описании App Store приложение заявлено как инструмент только для наблюдения за публичными адресами Ethereum, Solana и TRON. Разработчик утверждает, что сервис не хранит пользовательские активы и не проводит сделки.

Однако специалисты SlowMist нашли в версиях 1.1–1.2 два посторонних программных модуля, которые не связаны с заявленными функциями приложения.

Один из них содержит инструменты для эксплуатации уязвимостей ядра iOS.

Вредоносный модуль использует восемь методов атаки

По данным SlowMist, встроенный exploit-фреймворк поддерживает восемь различных методов атаки.

Система может автоматически выбирать подходящий вариант в зависимости от:

• модели устройства;
• установленной версии iOS;
• доступной уязвимости.

В качестве потенциально затрагиваемых версий исследователи указали iOS 12.0–18.7 и iOS 26.0–26.1.

Важно: это диапазон, заявленный исследователями для возможностей вредоносного фреймворка. Текущая страница FomoPeek в App Store указывает минимальное требование iOS 16.0.

Как FomoPeek может получить доступ к криптокошелькам

Обычные приложения iOS работают внутри изолированной среды — так называемой песочницы.

Она ограничивает доступ одного приложения к данным другого.

Однако при успешной эксплуатации уязвимости вредоносный код может попытаться выйти за пределы этой изоляции.

По данным SlowMist, после этого становится возможен доступ к Keychain — защищенному хранилищу iOS, где приложения могут сохранять учетные данные и другую конфиденциальную информацию.

Исследователи считают, что злоумышленники потенциально могут получить:

• приватные ключи;
• seed-фразы;
• логины и пароли;
• файлы пользователя;
• историю переписки;
• другие конфиденциальные данные.

Таким образом, пользователю необязательно самостоятельно вводить seed-фразу непосредственно в FomoPeek.

При успешном взломе устройства вредоносный компонент потенциально способен получить данные из других частей системы.

Приложение связывалось со скрытыми серверами

SlowMist также обнаружила сетевые соединения с серверами, которые не относятся к публичным сервисам FomoPeek.

По данным исследователей, через них приложение могло получать удаленные команды.

Анализ перехваченного трафика показал, что вредоносная функциональность была активна и могла запускаться автоматически через определенные интервалы.

Особенно высокий риск специалисты связывают с устройствами, работающими на более старых версиях iOS.

Что делать пользователям FomoPeek

SlowMist рекомендует тем, кто устанавливал версии 1.1 или 1.2, не ограничиваться обычным удалением приложения.

В первую очередь стоит проверить криптовалютные адреса на неизвестные транзакции.

Если на устройстве хранились приватные ключи или seed-фразы, специалисты рекомендуют считать их потенциально скомпрометированными.

На другом доверенном устройстве, где FomoPeek никогда не устанавливался, рекомендуется:

• создать новый кошелек;
• получить новую seed-фразу;
• сформировать новые приватные ключи;
• перевести активы на новые адреса;
• обновить iOS до последней доступной версии.

SlowMist также советует не переустанавливать подозрительные версии приложения.

При обнаружении признаков кражи желательно сохранить устройство и другую информацию, связанную с инцидентом, для последующего расследования.

Почему простого удаления приложения может быть недостаточно

Для криптовалютных кошельков компрометация приватного ключа принципиально отличается от утечки обычного пароля.

Удаление вредоносной программы не делает уже украденный приватный ключ снова безопасным.

Если злоумышленник получил seed-фразу, он может восстановить тот же кошелек на другом устройстве.

Поэтому средства необходимо переводить на совершенно новый кошелек с новой seed-фразой, созданной в безопасной среде.

Это не первый подобный инцидент в App Store

В апреле 2026 года в Apple App Store появилось поддельное приложение Ledger Live.

По данным расследователя ZachXBT, оно было связано с кражей примерно $9,5 млн у более чем 50 пользователей с 7 по 13 апреля.

В том случае применялась другая схема.

Фальшивое приложение Ledger просило пользователей самостоятельно вводить seed-фразы. После этого злоумышленники получали полный доступ к кошелькам.

Apple впоследствии удалила приложение, а аккаунт разработчика был заблокирован.

Ситуация с FomoPeek потенциально опаснее тем, что, согласно исследованию SlowMist, вредоносный компонент мог пытаться получить конфиденциальные данные непосредственно с устройства.

Что это значит для инвестора?

История FomoPeek показывает, что наличие приложения в официальном магазине само по себе не гарантирует абсолютную безопасность криптоактивов.

Для владельцев значительных сумм особенно важно разделять устройства по назначению.

Телефон для социальных сетей, тестирования приложений и повседневных сервисов не должен одновременно быть единственной точкой хранения доступа к крупному криптопортфелю.

Наиболее чувствительные seed-фразы и приватные ключи лучше вообще не хранить на универсальном мобильном устройстве.

Аппаратный кошелек также снижает риск только при правильном использовании. Seed-фразу от него нельзя вводить в неизвестные программы или хранить в заметках, облаке и приложениях телефона.

Вывод Expert Finance: инцидент с FomoPeek показывает новый уровень риска — вредоносному приложению потенциально не требуется просить пользователя добровольно передать seed-фразу. Для крупных криптопортфелей разделение устройств и ключей становится такой же важной защитой, как выбор самого кошелька.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.