Kwaadaardige iPhone-app leidt tot cryptodiefstal van $580.000

Het incident is vooral relevant voor cryptobeleggers omdat de aanval verder ging dan een normale phishingpoging. De kwaadaardige code probeerde de beveiliging van iOS zelf te omzeilen en kon daardoor mogelijk gegevens uit andere apps bereiken.

FomoPeek misbruikte kwetsbaarheden in iOS

SlowMist startte samen met het beveiligingsteam van OKX een onderzoek nadat gebruikers melding maakten van gestolen crypto. Meerdere slachtoffers bleken eerder een getroffen versie van FomoPeek te hebben geïnstalleerd.

Volgens de onderzoekers bevatten versies die op 9 en 12 september verschenen twee kwaadaardige modules. Deze maakten gebruik van kwetsbaarheden in de kernel van iOS om meer toegangsrechten te krijgen.

De kernel vormt de kern van een besturingssysteem en regelt onder meer hoe apps toegang krijgen tot geheugen en andere onderdelen van een apparaat. Wie een kwetsbaarheid in de kernel succesvol misbruikt, kan daardoor beveiligingsregels omzeilen die normaal gesproken apps van elkaar scheiden.

De kwaadaardige iPhone-app probeerde onder meer toegang te krijgen tot de Keychain en bestanden van andere apps. Apple gebruikt de Keychain om gevoelige informatie, zoals wachtwoorden en cryptografische gegevens, beveiligd op te slaan.

Op 17 september verscheen versie 1.3 van FomoPeek. SlowMist trof de kwaadaardige onderdelen in deze versie niet meer aan.

Aanval kon beveiligde omgeving verlaten

Een belangrijk onderdeel van de aanval was het omzeilen van de zogenoemde sandbox van iOS. Apple gebruikt deze beveiliging om iedere app binnen een afgeschermde omgeving te laten werken.

Een normale app kan daardoor niet zomaar bestanden en gegevens van andere apps bekijken. Bij een succesvolle ‘sandbox escape’ vervalt een deel van die bescherming.

Volgens SlowMist bevatte het gebruikte exploitframework acht aanvalsmethoden. De code vermeldde ondersteuning voor iOS-versies van 12.0 tot en met 18.7.2 en van 26.0 tot en met 26.1.

Voor cryptogebruikers is zo’n aanval extra riskant. Wallets en handelsapps bevatten informatie die direct of indirect toegang kan geven tot digitale bezittingen. Als aanvallers beveiligde gegevens kunnen uitlezen, neemt het risico op diefstal sterk toe.

Bijna 580.000 USDT naar hackeradres

SlowMist onderzocht naast de app ook de bewegingen van de gestolen crypto op de blockchain. De onderzoekers identificeerden een belangrijk adres dat ongeveer 579.984 USDT ontving. Dat komt neer op bijna $580.000.

USDT is een stablecoin van Tether. Een stablecoin probeert zijn waarde gekoppeld te houden aan een andere valuta of bezitting. Bij USDT is dat de Amerikaanse dollar, waardoor één USDT doorgaans rond $1 handelt.

Het geïdentificeerde adres werd volgens SlowMist op 15 september actief. De gestolen cryptomunten bewogen vervolgens over verschillende blockchainnetwerken en adressen.

Een deel van het geld ging richting diensten zoals FixedFloat, KuCoin en cce.cash. Andere bedragen verspreidden zich over aanvullende adressen. SlowMist bleef deze transacties na de eerste analyse volgen.

Officiële App Store sluit risico niet uit

Dat FomoPeek via Apple’s App Store beschikbaar was, maakt de zaak opvallend. Officiële appwinkels controleren software voordat deze beschikbaar komt, maar dergelijke controles bieden geen volledige garantie tegen kwaadaardige code.

Voor cryptobeleggers blijft het daarom belangrijk om kritisch te kijken naar apps die toegang vragen tot gevoelige informatie. De naam van de ontwikkelaar, recente updates en gevraagde machtigingen kunnen belangrijke aanwijzingen geven.

Wie een getroffen versie van FomoPeek heeft gebruikt, kan daarnaast zijn wallettransacties en gekoppelde accounts controleren op onbekende activiteit. Bij twijfel over de veiligheid van een wallet is alleen het verwijderen van een verdachte app niet altijd voldoende, omdat gevoelige gegevens mogelijk al zijn buitgemaakt.

Conclusie

De aanval via FomoPeek laat zien dat ook een kwaadaardige iPhone-app uit een officiële appwinkel een risico kan vormen voor cryptobezitters. Volgens SlowMist konden getroffen versies kwetsbaarheden in iOS misbruiken om beveiligingslagen te omzeilen en gevoelige gegevens te bereiken.

De onderzoekers koppelen de zaak aan ongeveer 579.984 USDT aan gestolen crypto. Voor cryptobeleggers onderstreept het incident vooral het belang van voorzichtigheid met apps die toegang krijgen tot wallets, accounts of andere gevoelige financiële informatie.

Veelgestelde vragen

Hoeveel crypto is gestolen via FomoPeek?

SlowMist identificeerde een belangrijk hackeradres dat ongeveer 579.984 USDT ontving. Dat vertegenwoordigt een waarde van bijna $580.000.

Wat is een sandbox in iOS?

Een sandbox is een beveiligde omgeving waarin een app draait. Deze voorkomt normaal gesproken dat een app zonder toestemming gegevens van andere apps of delen van het besturingssysteem kan benaderen.

Welke versies van FomoPeek bevatten kwaadaardige code?

Volgens SlowMist bevatten versies die op 9 en 12 september verschenen de kwaadaardige onderdelen. In versie 1.3 van 17 september troffen de onderzoekers deze modules niet meer aan.