Вредоносное приложение Fomopeek, распространявшееся через App Store, связано с кражей около 580 000 USDT. Фирма SlowMist начала расследование в выходные после сообщений о краже активов, связанных с раскрытыми приватными ключами.
Приложение позиционировалось как инструмент только для чтения для отслеживания крупных криптотранзакций в сетях Ethereum, Solana и Tron. В версиях 1.1 (выпущена 9 сентября) и 1.2 (12 сентября) SlowMist и исследователи OKX обнаружили два модуля, не связанных с заявленными функциями: один связывался с внешней командной инфраструктурой, другой содержал фреймворк эксплуатации ядра с восемью методами атак. В версии 1.3 от 17 сентября вредоносные компоненты были удалены.
По оценке фирмы Salus, потери составили около 579 900 USDT. Адрес атакующего — 0x6d37f2C5e8F8546b648D317295565dA95975f4BB. Предупреждения выпустили Binance, OKX, Gate, Bitget Wallet и Rabby.
Как работала эксплуатация
Эксплуатация уязвимости позволяла обойти песочницу iOS и получить доступ к Keychain и файлам других приложений, включая локально хранимые приватные ключи, сид-фразы и учётные данные. Удаление приложения или обновление ОС не делают недействительным приватный ключ, который мог быть скопирован.
Движение похищенных средств
Salus проследила 401 028 USDT через три промежуточных адреса до FixedFloat, ещё 20 000 USDT двумя транзакциями через депозитные адреса были консолидированы в горячий кошелёк KuCoin, 111 458 USDT прошли через адрес, связанный с эскроу-платформой, и 10 000 USDT — через миксер CCE.
Рекомендации и возможная связь с июньским инцидентом
Пользователям рекомендовано удалить Fomopeek, обновить iOS и перевести активы на новые кошельки, созданные на устройствах, где приложение не устанавливалось. Salus также заявила, что группа, стоящая за инцидентом с Fomopeek, была причастна к отдельной краже приватных ключей в июне; проверяется, использовалась ли та же техника.
Источник события: cryptoslate.com. Дата источника (UTC): 2026-09-22 22:50:41.
