FomoPeek iOS 应用中的恶意软件利用 Keychain 漏洞暴露私钥

FomoPeek 1.1 和 1.2 版本是一款自称用于追踪巨鲸钱包的 iOS 应用，已于 2026 年 9 月 19 日确认包含恶意代码，能够暴露存储在 iOS 设备上的私钥和助记词。区块链安全公司慢雾和 OKX 安全团队在收到多起用户资产被盗报告后发布了公开警报。这些资产被盗事件均被追溯至应用中嵌入的恶意软件。该事件凸显了那些自称为只读工具的 iOS 应用所带来的风险，因为其中的漏洞利用框架绕过了 iOS 安全机制，访问了存储加密密钥的 Keychain 凭据保险库。

FomoPeek 恶意软件通过八种漏洞利用方法攻击 iOS Keychain

FomoPeek 将自身宣传为只读追踪工具，用于监控 Solana、Ethereum 和 TRON 网络上的链上钱包活动。调查人员发现，该应用捆绑了一个复杂的 iOS 内核漏洞利用框架，采用了八种独立的攻击方法。该框架针对 iOS 12.0 至 18.7 以及 26.0 至 26.1 版本，具体采用的漏洞利用方法取决于目标设备型号和 iOS 版本。漏洞利用程序激活后，会绕过 iOS 安全机制，访问并解密 iOS Keychain。Keychain 是应用存储密码、令牌和加密密钥的系统组件。调查期间，攻击功能持续连接远程服务器，并实时拉取未经授权的命令。

受入侵设备上的只读应用可访问共享凭据保险库

iOS Keychain 充当设备上应用共享的凭据保险库。FomoPeek 的设计不要求任何交易或交易操作权限，因此用户容易认为其风险较低。如果漏洞利用框架能够访问 Keychain，那么存储或缓存于受入侵设备上的私钥和助记词就会变得可访问，无论这些信息最初由哪个应用生成。该恶意软件的能力远超 FomoPeek 宣称的只读监控功能，能够访问其他在 Keychain 中存储敏感数据的应用凭据。

慢雾和 OKX 发布受影响用户资产转移指南

慢雾和 OKX 发布了明确的指南，要求受影响用户立即转移资产，并在从未安装过 FomoPeek 的设备上生成新密钥。安全团队强调，在受影响手机上生成或存储的任何密钥都应被视为已泄露。标准应对措施包括卸载应用，将资产转移至由经过验证的干净设备上新生成的密钥保护的钱包，撤销通过连接受影响手机的钱包授予的任何授权或权限，并检查近期交易记录以发现未经授权的活动。截至警报发布之日，财务损失和具体被入侵的钱包尚未公开披露。

FomoPeek 案例展示了活跃的远程命令执行

FomoPeek 事件涉及八种漏洞利用方法、活跃的远程命令执行，以及围绕一个确实有用的产品类别构建的伪装叙事。该恶意软件并非等待触发的休眠代码，而是在调查期间持续运行并连接远程服务器。漏洞利用框架的技术复杂程度和活跃运行状态，均是慢雾和 OKX 发布的安全警报中记录的特征。

常见问题

FomoPeek 1.1 和 1.2 版本对 iOS 设备做了什么？

FomoPeek 1.1 和 1.2 版本包含恶意代码，使用具有八种攻击方法的 iOS 内核漏洞利用框架，绕过 iOS 安全机制并访问 iOS Keychain。该恶意软件暴露了运行 iOS 12.0 至 18.7 以及 26.0 至 26.1 版本的设备上存储的私钥、助记词和其他敏感凭据。调查期间，该漏洞利用程序持续连接远程服务器并拉取未经授权的命令。

如果用户在 iOS 设备上安装了 FomoPeek，应采取哪些措施？

慢雾和 OKX 指示受影响用户卸载应用，立即转移资产，并在从未安装过 FomoPeek 的设备上生成新密钥。用户应将资产转移至由经过验证的干净设备上新生成的密钥保护的钱包，撤销通过连接受影响手机的钱包授予的任何授权或权限，并检查近期交易记录以发现未经授权的活动。在受入侵设备上生成或存储的任何密钥都应被视为已泄露。