Una app de criptomonedas que llegó a estar disponible en la App Store de Apple guardaba un secreto peligroso: módulos ocultos capaces de romper el aislamiento de iOS y robar claves privadas, frases semilla y credenciales. Según las investigaciones de SlowMist y Salus, esa app, llamada FomoPeek, está vinculada al robo de cerca de 580.000 USDT.

Qué era FomoPeek

FomoPeek se presentaba como una herramienta de solo lectura para seguir grandes transacciones de criptomonedas en Ethereum, Solana y Tron. SlowMist empezó a investigarla durante el fin de semana después de recibir avisos sobre activos robados y claves privadas expuestas. Algunas víctimas habían instalado las versiones 1.1 o 1.2.

En colaboración con el equipo de seguridad de OKX, los investigadores encontraron dos módulos maliciosos en esas versiones, sin relación con las funciones públicas de la app. Uno se comunicaba con una infraestructura de comando y control externa. El otro incluía un marco de explotación del kernel con ocho métodos de ataque que se adaptaban al modelo de iPhone y a la versión del sistema operativo.

Cómo funcionaba el ataque

Si el exploit tenía éxito, la app podía salir de la sandbox de Apple y acceder a la información del Llavero (Keychain) y a archivos de otras aplicaciones. Eso abría una vía hacia claves privadas, frases semilla y credenciales guardadas localmente, sin necesidad de conectar una cartera o escribir esos datos dentro de FomoPeek.

El fundador de SlowMist, Yu Xian, explicó que tras un ataque con éxito la app podía romper el mecanismo de aislamiento de iOS, leer y descifrar el Keychain y acceder a datos de otras apps. En sus palabras:

“Las claves privadas, frases mnemotécnicas, credenciales de acceso, historiales de chat, archivos y otros datos del usuario pueden quedar expuestos”.

Los módulos no estaban en la versión original. SlowMist los detectó en la 1.1, publicada el 9 de septiembre, y en la 1.2, del 12 de septiembre; la 1.3, lanzada el 17 de septiembre, los eliminó. La app también podía recibir órdenes de un servidor remoto, incluida la configuración que activaba la explotación y su frecuencia.

Rastreo de los fondos robados

El análisis en cadena conectó el exploit con pérdidas reales. Salus identificó la dirección del atacante y calculó un botín de unos 579.900 USDT. SlowMist, por su parte, localizó una dirección que recibió unos 579.984 USDT y que se activó el 15 de septiembre.

Los fondos pasaron por varias redes e intermediarios. Salus trazó 401.028 USDT a través de tres direcciones intermedias hasta FixedFloat. Otros 20.000 USDT se movieron en dos transacciones y acabaron consolidados en una cartera caliente de KuCoin. Además, 111.458 USDT pasaron por una dirección asociada a una plataforma de custodia y 10.000 USDT atravesaron el mezclador CCE antes de llegar a direcciones vinculadas a un servicio de custodia.

Salus también indicó que el grupo detrás de FomoPeek había participado en un robo de claves privadas ocurrido en junio. Los investigadores siguen tratando de determinar si en aquel ataque se usó la misma técnica.

La respuesta de las plataformas

La alerta también recorrió varias plataformas de criptomonedas. Binance avisó de que la app contenía código malicioso capaz de explotar vulnerabilidades de iOS para obtener el máximo nivel de privilegios del dispositivo y acceder a datos sensibles. OKX, Gate, Bitget Wallet y Rabby se sumaron con una recomendación parecida.

En conjunto, pidieron a los usuarios eliminar FomoPeek, actualizar iOS y mover los activos a carteras recién creadas en dispositivos donde la app comprometida no se haya instalado. Borrar la aplicación o actualizar el sistema no invalida una clave privada que el atacante ya haya podido copiar.

Salus continúa rastreando las direcciones vinculadas a los fondos restantes, mientras plataformas como Binance vigilan posibles depósitos que permitan limitar el movimiento del USDT robado.