恶意外卖App“ComeCome”被曝通过iOS投毒攻击窃取加密资产
TREE NEWS 报道， 一款名为“ComeCome（拜托拜托）”的外卖类应用被指疑似集成恶意组件，在iPhone上实施类似FomoPeek的“投毒”攻击，可能窃取用户的加密资产。SlowMist创始人余弦披露了这一案例，指出部分看似正常的App在安装后会被远程下发恶意代码，对已安装的钱包或敏感数据发起攻击。
攻击机制解析
此类攻击的危险性在于其绕过了传统应用商店的审核机制。应用在初次安装时可能完全正常，但随后通过远程指令下载并执行恶意载荷，扫描设备中的钱包应用、助记词或私钥。这种“安装后攻击”模式意味着即使通过了安全审查的应用，也可能在后续变成攻击工具。
- 恶意代码在安装后远程下发
- 目标为已安装的加密钱包及敏感数据
- 影响iPhone、iPad及Mac设备
- 与此前披露的FomoPeek攻击手法相似
行业影响
该事件凸显了传统移动恶意软件与加密资产盗窃之间的融合趋势。随着移动端钱包采用率上升，攻击者的策略正从链上漏洞利用转向终端设备入侵。对加密行业而言，这是一项严峻的运营安全挑战：即使用户在助记词保管上做到万无一失，一旦设备在系统层面被攻破，资产仍可能失窃。
事件同时强调了及时更新操作系统的重要性。安全人士提醒用户尽快升级至最新iOS版本，因为苹果会持续修复可被用于远程代码执行的漏洞。然而，责任不能完全由用户承担——钱包开发者可能需要探索硬件级安全飞地及更强的沙箱机制，以在设备被攻破的情况下仍能保护密钥。
前瞻视角
随着加密资产价值提升并走向主流，移动端攻击预计将进一步加剧。行业应警惕供应链及应用商店层面的威胁上升，推动钱包服务商采用多方计算（MPC）、硬件钱包及生物识别门控的密钥存储方案。监管机构也可能加强对应用商店安全标准的审查。就目前而言，最直接的启示是：用户应审查已安装应用、避免不明来源，并将手机本身视为潜在攻击面，而不仅仅是钱包。
