威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析

查找币:余老师 | 漏洞披露 | 2026-10-15 11:00 | 1 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 近期，查找币安全团队收到多起用户资产被盗反馈。经核实，相关事件均涉及私钥泄露，其中部分受影响用户曾下载并使用 FomoPeek 1.1–1.2 版本 App。我们与 OKX 安全团队联合分析确认，FomoPeek 1.1 与 1.2 植入了 apptrace 和 libapptracecore 两个恶意模块，具备远程配置、内核漏洞利用、沙盒逃逸、Keychain 解密及跨应用数据采集能力。动态验证显示，应用会从 Bitbucket 获取加密的 C2 地址，并向 api-a95f0ed200f.assisaint[.]com 上报设备信息、接收远程配置。测试期间，C2 返回的 exploit_enabled 为 false。为验证后续执行链路，我们在隔离环境中通过 Hook 将客户端解密后的相关开关修改为 true，随后获取到针对 19 个钱包及笔记应用的采集清单，并捕获到 Apple 备忘录容器被打包上传的完整请求。通过 Hook 客户端加密函数，我们解密了该通道的请求与响应。服务端返回的配置证明攻击者可通过服务端远程开启漏洞利用、调整执行周期，并控制其定期重复运行。我们基于从 App Store 官方渠道获取的历史版本 IPA 完成逆向分析与样本溯源。结果显示，1.0 未发现上述恶意模块；1.1（build 105）于 2026 年 9 月 9 日首次植入；1.2（build 110）于 9 月 12 日上线，并沿用同一套代码；1.3（build 111）于 9 月 17 日将两个 framework 整体移除。因此，明确受影响的 App 版本为 1.1 和 1.2，相关恶意模块通过 App Store 官方版本分发，并非第三方重签名或侧载产物。该框架在代码层面声明的系统版本覆盖范围为 iOS 12.0–18.7.2 以及 iOS 26.0–26.1，说明其攻击目标并非仅限于低版本系统或老旧设备。查找币监控系统响应查找币监控系统是由查找币自主研发的 Web3 威胁情报与动态安全监控系统，集成了安全监控与情报聚合能力，为用户提供实时的风险预警与资产守护。查找币监控系统已第一时间通过情报推送与客户告警通道同步风险。一、背景 1.1 从用户反馈到样本溯源部分资产被盗用户在事件发生前曾安装并使用 FomoPeek。为核实其与私钥泄露事件之间的关联，我们从 App Store 官方渠道获取该应用的历史版本 IPA，并对包结构、加载依赖、签名归属及二进制内容进行了逐版本分析。 1.2 一款看起来完全正规的 App 从公开信息看，FomoPeek 具备一个正常项目应有的全部外观：项目公开信息 App 名称 FomoPeek – Whale Tracker & Smart Alerts App Store ID 6806199011 首次发布 2026-08-29 开发者显示名 WhaleScanv Seller / 法律主体 Porter Manufacturing, L.L.C. 官网 fomopeek[.]com 官方 X @FomoPeek 定位 Solana / Ethereum / TRON 钱包监控、Whale Tracking、链上提醒系统要求 iOS 16.0+ 价格 / 分类免费 / 财务当前版本 1.3（2026-09-18 更新）该 App 在 App Store 正常上架，有官网与官方社交账号，对外定位是“只读的链上监控与提醒工具”，不连接钱包、不要求助记词。因此，无论审核侧还是用户侧，都很难仅凭外观将其与内核漏洞利用联系起来。 1.3 传播路径：KOL 邀请码与真机停留 5–7 分钟公开推广信息显示，FomoPeek 主要通过币圈 KOL 及相关社群传播。用户需使用邀请码从 App Store 下载并注册，设置“安全码”、添加监控钱包，并在真机上操作数分钟，经审核后可领取 5–7 USDT。部分推广内容还特别强调“一台 iPhone 仅有一次机会”“同设备多号无效”“必须使用真机并停留 5–7 分钟”。这一要求值得关注。样本中集成了名为 CicutaVirosaStrategy 的利用策略，对应的公开利用 cicuta_virosa 单次运行需要两分钟以上。因此，“必须真机、云手机无效、需要停留数分钟”的推广规则，与内核利用链需要在真实设备上持续运行一段时间的技术特征吻合。不过，该推广规则只能作为辅助线索，不能单独用于判定其恶意目的。 9 月中旬，公开社交平台已出现用户警告，2026-09-16 17:11 UTC，X 用户金灰(@GXingPing) 发帖称因下载 FomoPeek 软件出现被盗事件，并告诫尽快卸载软件。 (https://x.com/GXingPing/status/21 [...内容已精简...] 档：https://app.查找币监控系统.io/api-docs 🛠️ 查找币监控系统-DepScan：https://github.com/查找币/查找币监控系统-DepScan轻量级 CLI 工具，一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 🛠️ 查找币监控系统-Skills：https://github.com/查找币/查找币监控系统-skillsAI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发查找币监控系统安全检测 🛠️ 查找币监控系统-DNS-Guard：https://github.com/查找币/查找币监控系统-DNS-GuardDNS 安全防护工具，检测恶意域名与风险访问，识别钓鱼、C2 等网络威胁本文由查找币威胁情报团队结合查找币监控系统威胁情报系统、查找币 Agent AI驱动分析编写，有任何问题欢迎咨询反馈。往期回顾 Liquid Network 缓存键碰撞漏洞解析：近 4,000 枚 L-BTC 被凭空铸造美国 OFAC、DOJ 联手打击新币担保，超 5200 万美元加密资产遭限制消失的负债 —— Notional Finance 被黑分析威胁情报｜iOS Safari DarkSword 窃取钱包资产从“谁在充值”到“钱从哪里来”：OKX 风控策略背后的链上资金来源风险查找币导航查找币科技官网 https://www.查找币.com/ 查找币区官网 https://查找币.io/ 查找币 GitHub https://github.com/查找币 Telegram https://t.me/查找币team Twitter https://twitter.com/@查找币_team Medium https://medium.com/@查找币知识星球 https://t.zsxq.com/Q3zNvvF --- *本文由查找币安全团队整理，来源：安全研究。*

威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析

查找币安全研究院

主题延伸阅读