Der FomoPeek-Schadcode konnte im Test Daten aus anderen iPhone-Apps übertragen; laut Analyse waren die Versionen 1.1 und 1.2 betroffen.
In zwei offiziellen App-Store-Versionen der iPhone-App FomoPeek haben Sicherheitsforscher von SlowMist schädliche Module gefunden, die Daten aus anderen Apps sammeln und an einen Remote-Server senden konnten. In einem kontrollierten Test übertrug der Code den Datencontainer der App Apple Notes. Ein mit dem Angreifer verknüpftes Wallet erhielt zudem 579.984,34 USDT – laut SlowMist handelt es sich dabei jedoch um die Gesamteingänge dieser Adresse und nicht um eine bestätigte Summe der über FomoPeek gestohlenen Kryptowährung.
Warum die Überwachungs-App für Wallet-Nutzer gefährlich wurde
FomoPeek wurde als schreibgeschütztes On-Chain-Überwachungs- und Warntool beworben, bei dem Nutzer weder eine Wallet verbinden noch eine Seed-Phrase eingeben mussten. Genau diese Positionierung machte den Fund brisant: SlowMist und das Sicherheitsteam von OKX leiteten Ermittlungen ein, nachdem Berichte über gestohlene Vermögenswerte und offengelegte private Schlüssel eingingen.
Die Analyse ergab, dass die Module Informationen aus anderen iPhone-Apps sammeln und an einen Remote-Server übertragen konnten. Entscheidend: Die App und die schädlichen Module waren mit derselben Apple-Entwickleridentität signiert, und die heruntergeladenen Dateien trugen die Verschlüsselungsdaten des App Stores – ein Hinweis darauf, dass sich der Code bereits in der offiziell vertriebenen Version befand und nicht erst nachträglich eingeschleust wurde. Der Fall reiht sich damit in eine Serie von Vorfällen ein, bei denen manipulierte Software gezielt Zugangsdaten von Wallet-Nutzern gefährdet.
Der Test zeigte, welche Daten der Schadcode anfordern konnte
Ein Modul holte laut Analyse eine verschlüsselte Serveradresse von Bitbucket ab, übermittelte Geräteinformationen und forderte Anweisungen an. Der Server konnte dabei steuern, welche Daten erfasst werden sollten und ob ein Ausnutzungsversuch überhaupt gestartet wird – während des beobachteten Tests war diese Funktion serverseitig deaktiviert. Die Forscher aktivierten sie anschließend in einer isolierten Umgebung, um die weiteren Schritte nachzuvollziehen.
Die App erhielt daraufhin eine Liste mit 19 Ziel-Apps, darunter Wallet- und Notiz-Anwendungen. Die Ermittler beobachteten einen Upload des Apple-Notizen-Datencontainers und rekonstruierten das Testarchiv – das zeigt die Fähigkeiten des Codes bei Aktivierung, belegt aber nicht, welche Daten tatsächlich von Geräten anderer Nutzer erfasst wurden. Im Code fand sich zudem eine Exploit-Strategie namens „DarkSwordStrategy“, deren Name mit einer im März dokumentierten iOS-Exploit-Kette übereinstimmt, ohne dass daraus eine gesicherte Zuordnung folgt. Ähnliche Muster kompromittierter Endgeräte zeigte zuletzt auch der Waterplum-Angriff über gefälschte Jobangebote.
Was Betroffene jetzt beachten müssen
Die Module tauchten in Version 1.1 vom 9. September und Version 1.2 vom 12. September auf; Version 1.0 war laut Analyse nicht betroffen, Version 1.3 vom 17. September entfernte den Code wieder. Wer eine der betroffenen Versionen installiert hatte, bleibt jedoch potenziell gefährdet, da das Löschen oder Aktualisieren der App bereits übermittelte Informationen nicht rückgängig macht.
SlowMist empfahl Nutzern der Versionen 1.1 und 1.2, auf dem Gerät gespeicherte Seed-Phrasen, private Schlüssel und sensible Zugangsdaten als potenziell kompromittiert zu betrachten. Konkret geraten wird zu einer neuen Wallet auf einem sicheren Gerät, auf dem die App nie ausgeführt wurde, und zur Übertragung gefährdeter Vermögenswerte – eine Vorsichtsmaßnahme, die sich in ihrer Konsequenz mit Empfehlungen nach früheren Wallet-Sicherheitslücken mit hohem Schadenspotenzial deckt.
Der Fall erweitert das Risiko gefälschter Wallet-Apps
Anders als gefälschte Wallet-Apps wie zuvor gemeldete Sparrow- oder Ledger-Klone trat FomoPeek als reines Überwachungstool auf. Nutzer hatten damit keinen offensichtlichen Anlass zu erwarten, dass die App auf Daten anderer Apps zugreifen könnte – genau darin liegt die Einordnung dieses Vorfalls: Offizielle App-Store-Veröffentlichungen können versteckte Module enthalten, was die Notwendigkeit unterstreicht, potenziell offengelegte Zugangsdaten konsequent zu ersetzen.
Kryptowährungen bleiben pseudonym, aber nicht anonym, und Transaktionen sind über die Blockchain grundsätzlich nachvollziehbar. Wer Wallets oder Überwachungs-Apps installiert, sollte Herkunft und Berechtigungen genau prüfen; einen Überblick über gängige Angriffsmuster liefert der Beitrag zu Malware in Wallet-Erweiterungen.
next