外卖App成盗币新载体，ComeCome植入恶意SDK攻击iOS钱包
TREE NEWS 报道， 慢雾创始人余弦（@evilcos）披露，一款名为ComeCome的外卖类App（comecome.icu）被发现采用与FomoPeek投毒事件类似的手法实施攻击。FomoPeek v1.1-1.2版本曾内置恶意SDK，集成8种iOS内核漏洞利用方案，可根据设备型号及系统版本自动选择攻击方式，已知受影响iOS版本覆盖iOS 12.0–18.7及26.0–26.1。攻击成功后，恶意代码可突破iOS沙箱机制，进而窃取加密钱包资产。
攻击手法与影响范围
该恶意SDK集成了多种内核漏洞利用工具，能够针对不同设备自动匹配攻击路径，用户仅需安装App即可触发。余弦提示，此类威胁同样不排除波及iPad及Mac设备，建议用户立即更新至最新iOS版本，并对来源不明的App保持高度警惕。
此次事件延续了针对加密货币用户的供应链攻击趋势。外卖、健身、工具类App因权限请求广泛，且常通过第三方渠道分发，成为理想的攻击载体。在官方应用商店受限的地区，用户侧载应用的风险尤为突出。
行业影响
- 移动钱包安全：攻击表明，即使是被认为相对安全的iOS沙箱，也并非无懈可击。内核级漏洞利用挑战了移动钱包天然优于桌面钱包的假设。
- 应用商店审核缺口：恶意App通过非官方渠道传播，凸显了侧载风险和第三方分发渠道监管的难度。
- 用户行为：加密资产持有者正通过日常应用被 targeting，安全防护需从钱包管理扩展到整个设备使用习惯。
前瞻展望
ComeCome与FomoPeek事件标志着移动端加密犯罪正在升级。随着iOS和Android不断加固沙箱，攻击者正转向投入内核级漏洞利用工具。预计未来将出现更多跨平台漏洞利用套件，以及针对移动操作系统的零日漏洞交易市场。
对用户而言，及时更新系统、避免侧载应用、大额资产使用硬件钱包是当务之急。对行业而言，此次事件再次呼吁加强对移动应用的安全审计，并推动安全研究者、应用商店与执法机构之间的协作，在攻击触及用户之前切断供应链。
