悪意あるiOSアプリがカーネルエクスプロイトを武器に暗号資産ウォレットを流出させる
TREE NEWS 報道： SlowMistとOKXのセキュリティチームによる共同調査により、FomoPeekアプリのバージョン1.1から1.2に、感染したiOSデバイスから秘密鍵、シードフレーズ、ログイン認証情報、チャット履歴を窃取できる悪意あるコードが含まれていることが確認された。このアプリには8種類の異なる攻撃手法を持つカーネルエクスプロイトフレームワークが組み込まれており、デバイスの機種とiOSバージョンに基づいて適切な経路を自動的に選択する。
エクスプロイトが成功すると、iOSサンドボックスを脱出し、Keychainのデータを復号化し、他のアプリケーションのファイルを読み取る。影響を受けるiOSバージョンは12.0～18.7および26.0～26.1に及ぶ。重要な点として、この攻撃機能は現在も有効であり、定期的に自動実行されるため、被害者はユーザーの操作なしに侵害される可能性がある。
この攻撃が重要な理由
これはありふれたフィッシングアプリではない。iOSにおけるカーネルレベルのエクスプロイトは稀であり、技術的に高度であることから、十分なリソースを持つ攻撃者の存在が示唆される。Appleの暗号化された認証情報ストアであるKeychainを復号化できるということは、マルウェアが暗号資産ウォレットだけでなく、銀行アプリ、取引所のログイン情報、メッセージ履歴も収集できることを意味する。暗号資産ユーザーにとって影響は深刻であり、ウォレットアプリに保存されたシードフレーズや秘密鍵が攻撃者に直接アクセス可能となる。
大手ブロックチェーンセキュリティ企業であるSlowMistと、最大級の取引所の一つであるOKXの協力は、暗号資産業界における官民の脅威インテリジェンス共有が拡大する傾向を反映している。取引所のセキュリティチームは、侵害されたユーザーが将来の出金・入金リスクを意味することが多いため、こうした脅威を早期に特定する強い動機を持つ。
推奨される対処手順
- アカウントと資産に不審な動きがないか確認する
- FomoPeekを一度もインストールしたことのない信頼できるデバイスで、新しいアカウントを作成し、新しい秘密鍵／シードフレーズを生成する
- できるだけ早く資産を新しいアカウントに移す
- デバイスを最新のiOSバージョンに更新する
- FomoPeekの使用を直ちに中止し、アンインストールする
暗号資産セキュリティへの広範な影響
モバイルウォレットは個人の暗号資産ユーザーにとって主要なインターフェースとなっているが、モバイルOSのセキュリティは依然として過小評価されている攻撃対象領域である。業界の関心の多くはスマートコントラクトの監査やDeFiプロトコルのエクスプロイトに集中しているが、エンドポイントの侵害は根本的に異なる脅威モデルであり、オンチェーンのセキュリティを完全に迂回するものである。
カーネルエクスプロイトの使用は、こうしたコードの出所についても疑問を投げかける。高度なiOSカーネルエクスプロイトは通常、国家主体のアクターや商用監視ベンダーの領域であり、消費者向け暗号資産アプリに出現したことは、ツールの流出か、犯罪能力の大幅なエスカレーションのいずれかを示唆している。
今後、暗号資産の保有額が増えるにつれ、ユーザーはモバイルエンドポイントが引き続き標的とされることを想定すべきである。ハードウェアウォレット、エアギャップ署名、マルチシグ設定は、この種の攻撃に対する最も堅牢な防御手段であり続ける。この事件はまた、業界横断的なセキュリティ協力の価値を浮き彫りにしており、脅威が高度化するにつれてこのモデルはさらに拡大する可能性が高い。
