Phát hiện mã độc trong bản dựng chính thức trên App Store của FomoPeek
TREE NEWS đưa tin: Các nhà nghiên cứu bảo mật tại SlowMist, phối hợp với đội ngũ bảo mật của OKX và OKX Wallet, đã xác nhận rằng phiên bản 1.1 và 1.2 của ứng dụng FomoPeek iOS — phát hành lần lượt vào ngày 9 tháng 9 và 12 tháng 9 — có chứa các mô-đun độc hại được nhúng. Các mô-đun này, được xác định là apptrace và liba, có khả năng khai thác lỗ hổng kernel iOS để đánh cắp dữ liệu người dùng nhạy cảm từ các thiết bị bị ảnh hưởng.
Phát hiện này đánh dấu một trường hợp hiếm hoi mã độc vượt qua quy trình kiểm duyệt của Apple App Store ở quy mô lớn, đặt ra những câu hỏi khó chịu về bảo mật chuỗi cung ứng di động trong lĩnh vực tiền mã hóa, nơi các ứng dụng thường xuyên xử lý khóa riêng tư, cụm từ hạt giống và thông tin xác thực ví.
Cách chuỗi tấn công hoạt động
Theo phân tích chung, các thành phần độc hại không chỉ là SDK giám sát. Mô-đun liba được báo cáo đã tận dụng lỗ hổng cấp kernel để leo thang đặc quyền, bỏ qua các biện pháp bảo vệ sandbox của iOS. Điều này cho phép kẻ tấn công đọc tệp, ghi lại tổ hợp phím hoặc trích xuất thông tin xác thực từ các ứng dụng khác — bao gồm ví tiền mã hóa — được cài đặt trên cùng thiết bị.
- Phiên bản 1.1 (9 tháng 9): Lần xuất hiện đầu tiên của mô-đun
apptrace - Phiên bản 1.2 (12 tháng 9): Mở rộng payload với khai thác kernel
liba - Phát hiện: Được gắn cờ thông qua tình báo mối đe dọa hợp tác giữa SlowMist và đội ngũ bảo mật OKX
Việc sử dụng khai thác kernel bên trong một tệp nhị phân App Store được phân phối công khai là điều đáng kể. Trước đây, những khai thác như vậy thuộc lĩnh vực của các tác nhân nhà nước và công cụ jailbreak tinh vi. Sự xuất hiện của chúng trong một ứng dụng tiền mã hóa tiêu dùng cho thấy hoặc là pipeline của nhà phát triển bị xâm phạm hoặc là sự chèn ép có chủ ý từ nội bộ.
Hàm ý cho bảo mật di động tiền mã hóa
Sự cố này làm nổi bật điểm yếu cấu trúc trong cách người dùng tiền mã hóa đánh giá rủi ro. Người dùng đã được huấn luyện để xem xét kỹ lưỡng hợp đồng thông minh, báo cáo kiểm toán và hoạt động on-chain — nhưng hiếm khi xem xét tệp nhị phân họ cài đặt từ cửa hàng ứng dụng chính thức. Giả định rằng quy trình kiểm duyệt của Apple cung cấp bảo đảm bảo mật giờ đây đã bị thách thức một cách rõ ràng.
Đối với các nhà cung cấp ví, sự kiện này củng cố lập luận cho lưu trữ khóa dựa trên phần cứng, passkey và vùng bảo mật cách ly các hoạt động ký khỏi toàn bộ hệ điều hành. Đối với sàn giao dịch và đơn vị lưu ký, nó nhấn mạnh nhu cầu giám sát mối đe dọa di động liên tục thay vì kiểm toán một lần.
Những gì tiếp theo
Người dùng bị ảnh hưởng nên giả định thông tin xác thực đã bị xâm phạm và thay đổi mọi bí mật được lưu trữ trên thiết bị đã chạy FomoPeek 1.1 hoặc 1.2. Toàn ngành nên dự đoán sự giám sát gia tăng đối với SDK bên thứ ba và thư viện phân tích được nhúng trong ứng dụng tiền mã hóa, vốn vẫn là vector phổ biến nhất cho các cuộc tấn công chuỗi cung ứng.
Sự việc này cũng củng cố lập luận cho các bản dựng có thể tái tạo và ứng dụng di động mã nguồn mở trong tiền mã hóa — một tiêu chuẩn vẫn là ngoại lệ chứ không phải quy tắc. Cho đến khi điều đó thay đổi, khoảng cách giữa tính minh bạch on-chain và tính mờ đục off-chain sẽ vẫn là một trong những điểm yếu bị khai thác nhiều nhất của lĩnh vực này.
