正文：
原文作者：ChandlerZ，Foresight News
在9月20日，区块链安全公司慢雾发布了一份关于FomoPeek的分析报告，揭示了一款名为FomoPeek的链上监控工具在App Store上架时，版本1.1和1.2中被植入了两个恶意模块——apptrace和libapptracecore。这两个模块具备远程配置、内核漏洞利用、沙盒逃逸、Keychain解密及跨应用数据采集的能力。
该恶意框架的代码声明其目标系统版本涵盖iOS 12.0–18.7.2以及iOS 26.0–26.1，表明其攻击范围不仅限于低版本系统或老旧设备。
此次调查始于多名用户反馈他们的资产被盗，其中涉及私钥泄露，而部分受害者在被盗之前使用过这两个版本的应用。
从公开信息来看，FomoPeek在表面上具备一个正常项目的所有特征：
项目名称：FomoPeek – Whale Tracker & Smart Alerts
App Store ID：6806199011
首次发布：2026/8/29
开发者：WhaleScan
卖方/法律主体：Porter Manufacturing, L.L.C.
官网：fomopeek[.]com
官方社交账号：X@FomoPeek
定位：Solana / Ethereum / TRON钱包监控、巨鲸追踪、链上提醒系统
系统要求：iOS 16.0+
价格/分类：免费/财务
当前版本：1.3（更新于2026-09-18）
该应用在App Store中合法上架，且具备官网和社交媒体账号，因此无论是审核方还是用户，都很难仅凭外观将其与内核漏洞利用联系起来。
根据介绍，FomoPeek旨在为希望追踪巨鲸交易的加密用户提供服务，支持监控Solana、Ethereum和TRON上的钱包活动。用户可以添加公开的钱包地址以接收链上提醒，应用声称仅具只读功能，不会连接钱包，也不要求助记词。然而，在慢雾的隔离测试中，该程序成功获取了19个钱包及笔记应用的采集清单，并将苹果备忘录数据打包上传。
对于习惯使用链上浏览器和巨鲸追踪工具的用户而言，添加公开地址是一项常见操作。虽然钱包地址可以显示资产与交易活动，但并不能用于签署转账；而且该应用并未要求用户事先充值、提供助记词或批准交易，因此用户可能会错误地认为风险仅存在于资产控制权的交出上。
苹果通过沙盒机制限制第三方应用访问的文件，每个应用都有自己的数据目录。系统钥匙串则为密码、密钥和登录令牌提供受控存储，确保只有被授权的应用可以读取。正常情况下，监控公开链上交易的应用无法直接访问其他钱包的私密数据。
FomoPeek植入的两个模块各司其职：apptrace负责与攻击者的控制服务器进行通信，而libapptracecore则包含漏洞利用和数据采集的代码。这些模块在应用启动时被加载，隐藏的代码可以在用户正常使用界面时继续留在同一进程中。
研究人员在测试中捕获到一份包含135个应用标识的清单，通过这些信息，服务器能够识别手机上安装了哪些钱包，并向该设备下发采集对象，而无需用户在界面上选择或填写钱包名称。
服务器还控制漏洞利用的启动与否、是否重复执行以及执行间隔。连接服务器的地址也可以远程更换，攻击者在调整目标和运行安排时，无需重新发布应用。用户所看到的版本号和功能保持不变，但后台接收到的指令可能会有所不同。
根据慢雾还原的攻击设计，该框架随后根据系统版本和设备型号选择利用方案，尝试获取超出普通应用权限的内核访问能力。内核负责系统资源与权限管理，一旦相关漏洞被成功利用，恶意程序可能绕过原有的访问限制，读取其他应用目录，并尝试提取和解密钥匙串中的敏感信息。
代码中内置了8套利用策略，适配范围包括iOS 12.0至18.7.2及26.0至26.1。
在隔离测试期间，最初服务器返回的漏洞利用开关为关闭状态，研究人员手动开启相关开关后，客户端成功获得了19个钱包及笔记应用的采集配置，包括MetaMask、OKX Wallet、Trust Wallet、imToken、TokenPocket和TronLink。配置指向这些应用的密钥存储、数据库和本地文件，同时也包含整个苹果备忘录的数据目录。
随后，团队捕获到一个约46KB的上传压缩包，解压后可见备忘录数据库及相关文件。被读取的数据首先暂存在FomoPeek自己的目录中，然后再发送至远程服务器。备忘录因此可能成为钱包信息泄露的来源：如果用户将助记词复制到笔记中，攻击者只需获取这份备份，就有机会恢复对应钱包。
对于普通自托管钱包，若被盗者获得可用密钥，可以在自己的设备上恢复账户并签署交易。转账指令由攻击者发出，而原手机上的钱包无需弹出确认窗口。用户虽然未主动向FomoPeek输入助记词，但仍可能因同机数据被读取而失去资产。
根据慢雾旗下追踪工具MistTrack在报告中分析的一个主要攻击者地址，自9月15日起活跃，截至报告发布时累计收入579,984.34枚USDT。这些资金涉及Ethereum、BNB Chain和Arbitrum，大部分被汇集到Ethereum，再分批转出。一处下游地址收到的159,000枚USDT全部转入兑换平台FixedFloat，另一处地址的47,028枚USDT则分别流向交易所KuCoin和FixedFloat。
FomoPeek同时将钱包和备忘录列为采集对象，使明文备份与钱包自身的数据文件一同暴露在攻击目标中。即便同一位用户使用多款不同钱包分散管理资产，只要它们安装在同一台受影响的设备上，或者助记词集中保存在同一个笔记应用中，仍然面临同时被读取的风险。
2025年2月，卡巴斯基曾披露名为SparkCat的窃密程序，发现一些带有恶意组件的外卖、通讯等应用进入App Store和Google Play，其中包括外卖应用ComeCome。该应用通过正常业务请求相册权限，获准后扫描可访问的图片，利用文字识别寻找助记词，并将命中的图片上传。
SparkCat依赖相册访问权限寻找明文备份，而FomoPeek则包含突破系统隔离的利用代码。前者可以让一张助记词截图成为盗币入口，而后者则进一步将其他应用保存的数据纳入采集目标。无论钱包界面是否正规，用户是否点击过可疑授权，都无法单独排除这两类泄密。
硬件钱包同样需妥善保护助记词备份，Ledger的安全指引建议，不要拍照记录恢复词，也不要将其输入电脑或手机。即使交易签名在硬件设备上完成，留存在手机相册或笔记中的完整恢复词，仍可能被他人用于重建钱包。
慢雾建议，曾使用FomoPeek 1.1或1.2的用户应立即停止运行该应用，避免重新安装，并将相关助记词、私钥和敏感凭据视为已泄露进行处理。虽然1.3版本移除了恶意模块，但这并不意味着之前可能已经上传的数据可以被收回。
资产迁移应在未安装过FomoPeek、系统已更新且来源可信的设备上进行，新钱包必须生成全新的助记词。将旧助记词导入另一款钱包会恢复原账户；在同一组助记词下新增账户，亦会继续受这组助记词控制。各链代币、NFT及仍在协议中的资产需分别核对，避免只迁走界面上最显眼的一笔余额。
钱包的解锁密码通常仅用于保护本地访问，修改它不会
来源：Odaily星球日报
锦鲤(KoiPayment)原创作品,发布者：锦鲤KoiPayment，转载请注明出处：https://koipayment.com/2026/09/21/app-store%e4%b8%8b%e8%bd%bd%e4%b9%9f%e5%8f%af%e8%83%bd%e5%af%bc%e8%87%b4%e8%b5%84%e4%ba%a7%e6%8d%9f%e5%a4%b1%ef%bc%9afomopeek%e4%ba%8b%e4%bb%b6%e5%9b%9e%e9%a1%be/
评论列表（8条）
这真是个警示！下载APP之前一定要多加甄别，保护好自己的资产。
FomoPeek事件让我意识到，区块链安全不是小事，大家一定要重视！
看到这个消息真是让人惊讶，不知道还有多少我们没注意到的风险。
感谢分享这个事件，感觉我们对安全性了解得还不够！
之前听说过FomoPeek，但没想到事情这么严重，安全第一啊！
有没有更多关于如何防范此类风险的建议？希望看到更详细的分析！
我觉得这类平台应该加强监管，以保护用户的资产安全。
这篇文章让我对科技行业的潜在威胁有了新的认识，未来要更加小心！