外卖 App 成盗币新渠道，iOS 生态安全再受考验
TREE NEWS 报道， 区块链安全机构慢雾创始人余弦发布提醒，外卖应用 ComeCome（拜托拜托）存在投毒盗币风险，手法与早前曝光的 FomoPeek App 类似，均针对 iPhone 用户。余弦建议 iOS 用户尽快更新系统，并谨慎对待非官方渠道分发的应用。
攻击手法解析
据安全研究人员描述，此类攻击通常通过侧载、企业证书或钓鱼链接诱导用户安装被篡改的应用。一旦安装，恶意代码便可读取剪贴板、窃取钱包助记词，或向正规钱包注入恶意交易。这类“钱包盗取器”（wallet drainer）攻击近年来在移动端和桌面端均呈上升趋势。
移动端为何成为主战场
在亚洲市场，超级应用将社交、支付与金融功能融为一体，手机已成为散户进入加密世界的主要入口。与桌面钱包相比，移动钱包缺乏硬件隔离，且与日常社交、外卖应用共用同一设备，社会工程攻击的成功率显著提高。攻击者无需攻破交易所，只需诱导用户点击“安装”。
- 慢雾建议用户立即更新 iOS 系统以修复已知漏洞。
- 避免安装侧载应用，并核验开发者签名。
- 硬件钱包与 Passkey 仍是抵御盗取器的最强防线。
行业影响
ComeCome 事件暴露出加密安全栈的结构性短板——终端设备。随着交易所托管系统加固、链上分析能力提升，攻击者正将目标转向用户手机。应用商店、企业证书体系以及区域分发渠道都可能成为攻击入口。对钱包厂商而言，这意味着必须加快安全隔区集成、交易模拟与实时钓鱼检测的落地。
前瞻
预计监管机构与应用平台将面临更大压力，尤其是在加密 adoption 较高的市场，应用审核流程或将被收紧。钱包开发者可能加速采用 Passkey、每次签名均需生物识别确认，以及端侧威胁检测。对用户而言，任何请求钱包权限的应用都应先视为潜在威胁。加密世界里最薄弱的一环，往往就是手中的那部手机。
