恶意iPhone应用突破iOS沙盒，窃取58万美元USDT

一款曾上架苹果App Store的恶意应用FomoPeek，已被确认与近58万美元的USDT失窃事件相关。链上安全公司慢雾（SlowMist）上周末接到用户资产被盗的求助后展开调查，发现失窃者此前的私钥已遭暴露，而这些用户普遍安装过FomoPeek的1.1或1.2版本。该应用原本宣称是一款只读工具，用于追踪以太坊、Solana和Tron网络上的大额加密货币交易。

应用内暗藏两个可疑模块

慢雾与OKX的安全研究人员合作分析后发现，这两个版本中嵌入了两个与其宣称的监控功能毫无关联的模块：一个负责与外部命令控制服务器通信，另一个则内置了一套内核利用框架，包含八种攻击手法，可根据受害者iPhone的机型和系统版本自动适配。

攻击一旦成功，恶意代码便可绕过苹果的应用沙盒隔离机制，直接读取Keychain（钥匙串）信息以及其他应用的文件，从而在用户未连接钱包、未输入任何助记词的情况下获取本地存储的私钥、助记词和登录凭据。慢雾创始人余弦表示，风险范围还延伸至Keychain中保存的各类密码和其他应用的加密文件，攻击者若同时拿到这些数据，就可能解锁钱包凭据及设备上的其他敏感信息。

值得注意的是，FomoPeek最初发布版本中并不存在这些恶意组件。慢雾确认，恶意代码出现在9月9日发布的1.1版和9月12日发布的1.2版中，随后在9月17日的1.3版中被移除。研究人员还发现，该框架可接收远程服务器指令，包括是否启用攻击以及攻击执行频率的配置。

链上追踪：近58万USDT被转移

技术分析之后，链上数据进一步显示攻击者已将访问权限转化为实际损失。区块链分析公司Salus锁定了攻击者地址0x6d37f2C5e8F8546b648D317295565dA95975f4BB，估算此次事件涉案金额约为579,900 USDT。

Salus追踪到，其中401,028 USDT经过三个中转地址流向FixedFloat；另有20,000 USDT通过两笔交易经充值地址归集至一家交易所的热钱包；还有111,458 USDT经Salus认定的某托管平台关联地址流转；另有10,000 USDT经CCE混币服务转入托管服务相关地址。Salus的分析还表明，FomoPeek事件背后的团伙可能与今年6月另一起私钥失窃案有关，调查人员仍在核实两案是否使用相同手法。

多家平台发出警告并给出处置建议

鉴于损失规模和漏洞波及范围，包括币安、OKX、Gate、Bitget Wallet和Rabby在内的多家加密平台相继发布风险提示。币安在公告中表示，FomoPeek 1.1至1.2版本包含恶意代码，可利用iOS系统漏洞获取设备最高权限，进而访问设备上存储的私钥、助记词、登录凭据、聊天记录和文件等敏感数据，且该恶意软件的攻击目标是设备本身，一旦得手，受影响设备上所有应用的数据都可能被读取。

各平台的处置建议基本一致：立即卸载FomoPeek、将iOS系统更新至最新版本，并在从未安装过该应用的全新设备上创建新钱包、转移资产。之所以必须更换全新凭据，是因为删除应用或升级系统都无法使已被复制的私钥失效。

这起事件也引发了关于“专用加密iPhone”方案的讨论。两个月前，链上调查员ZachXBT曾提出，一部专门用于加密资产存储和签名交易的iPhone，可能比现有硬件钱包更为可靠，其前提是该设备与日常浏览、通讯等活动完全隔离。FomoPeek暴露出这一模式的另一处薄弱环节：该应用本身就是面向加密用户开发、并经苹果官方商店分发的，却携带了足以突破系统应用隔离机制的工具。这并不能说明专用加密iPhone的安全性天然不如硬件钱包，但表明一旦设备上安装的软件能够攻破操作系统本身，隔离防护的作用就相当有限。

目前，各方的工作重心是控制进一步损失并追踪被盗资金。Salus仍在持续监控与剩余赃款相关的地址，币安等平台也在排查可能的充值记录，以便为调查人员提供追踪或冻结被盗USDT的更多机会。