FomoPeek: приложение из App Store воровало криптовалюту через эксплойт ядра iOS

19 сентября 2026 года аналитическая компания SlowMist, работавшая совместно с командой безопасности биржи OKX, опубликовала разбор приложения FomoPeek: программы, которая прошла проверку Apple, находилась в официальном App Store и рекламировалась как безопасный инструмент для отслеживания движений крупных криптовалютных кошельков. Внутри неё обнаружили код, не имевший отношения к заявленной функции: framework для эксплуатации ядра iOS с восемью различными методами атаки.

Как приложение выглядело снаружи

FomoPeek позиционировалось разработчиками как инструмент «только для чтения»: он якобы не подключался к кошелькам и не требовал seed-фразу, а лишь отслеживал публичные ончейн-данные и присылал уведомления о движениях крупных сумм. По данным исследователей, приложение продвигалось не органически, а через оплаченные публикации крипто-инфлюенсеров (KOL), а новым пользователям, пришедшим по реферальным ссылкам, начислялось вознаграждение в 7 USDT. Такая модель продвижения типична для легитимных крипто-продуктов, что и позволило FomoPeek долго не вызывать подозрений.

Первая версия приложения действительно была чистой. Проблема появилась позже, и именно это делает историю FomoPeek показательной: вредоносный код не был в приложении с самого начала, его добавили постфактум, уже после того как продукт получил доверие пользователей и прошёл модерацию магазина.

Хронология: как код появился и был обнаружен

Согласно анализу SlowMist, версия 1.1 (сборка 105) вышла 9 сентября 2026 года и уже содержала два скрытых вредоносных модуля. Версия 1.2 (сборка 110), опубликованная 12 сентября, сохранила ту же функциональность. Только версия 1.3 (сборка 111), выпущенная 17 сентября, убрала оба фреймворка из кода. Публичное предупреждение о находке появилось 19 сентября, то есть спустя десять дней с момента первого заражённого релиза.

Это означает, что в течение как минимум восьми дней приложение с активным эксплойтом ядра распространялось через официальный магазин Apple без каких-либо предупреждений для пользователей. За это время его успевали скачивать новые пользователи, привлечённые рекламой у инфлюенсеров, и каждый такой пользователь запускал приложение, находясь в зоне риска, даже не подозревая об этом.

Что именно делал вредоносный код

По описанию SlowMist, встроенный фреймворк содержал восемь различных методов эксплуатации ядра iOS, способных адаптироваться под конкретную модель устройства и версию операционной системы. Диапазон затронутых версий, согласно расследованию, охватывал iOS с 12.0 по 18.7, а также свежие сборки 26.0 и 26.1, причём более старые версии системы были подвержены риску сильнее.

В случае успешной эксплуатации код мог выйти за пределы песочницы приложения (sandbox), получить повышенные привилегии и расшифровать содержимое системного хранилища Keychain, где iOS хранит пароли, токены и криптографические ключи. Из скомпрометированного устройства теоретически можно было извлечь приватные ключи криптокошельков, seed-фразы, логины и пароли, переписку из мессенджеров и файлы, принадлежащие другим приложениям, не только самому FomoPeek.

Важная деталь: разработчики встроили в код логику, запускавшую атаку не при каждом открытии приложения, а с определённой периодичностью, что затрудняло обнаружение угрозы при обычном анализе трафика и поведения.

Почему это прошло модерацию Apple

App Store устроен так, что модерации в первую очередь подвергается первая версия приложения при публикации, а последующие обновления проходят более быструю или частично автоматизированную проверку, особенно если у разработчика уже есть история одобренных релизов. FomoPeek воспользовался именно этой особенностью: чистая первая версия заслужила доверие, а вредоносный код добавили уже в обновлении. Такая схема называется app store poisoning, отравление магазина приложений, и она не нова, но случай FomoPeek примечателен масштабом встроенного инструментария: восемь методов эксплуатации ядра в одном пакете обновления это уровень, обычно характерный для целевых атак спецслужб, а не массового вредоносного ПО.

Масштаб инцидента

SlowMist и связанные с расследованием источники не раскрыли ни точную сумму похищенных средств, ни число заражённых устройств. Известно лишь, что часть пользователей сообщила об опустошении кошельков после установки приложения. Отсутствие точных цифр не должно вводить в заблуждение: закрытость этих данных характерна для ранней стадии расследования, а не для отсутствия ущерба. Binance выпустила отдельное предупреждение для владельцев iPhone, рекомендовав пользователям, устанавливавшим приложение, действовать так, будто устройство уже скомпрометировано.

Что известно о статусе приложения сейчас

SlowMist и связанные с расследованием источники не раскрыли официальную позицию Apple по инциденту и точную дату, когда приложение исчезло из магазина, если это вообще произошло. Версия 1.3, убравшая вредоносные модули, формально устранила проблему в текущей сборке, но это не отменяет того, что пользователи, установившие версии 1.1 и 1.2, уже могли быть скомпрометированы задолго до выхода чистого обновления. Автообновление приложений в App Store происходит не мгновенно, а у части пользователей и вовсе отключено, так что установленной у них могла оставаться заражённая версия ещё какое-то время после 17 сентября.

Разработчики FomoPeek публично не идентифицированы. Это типично для подобных инцидентов: даже когда вредоносный код обнаружен и проанализирован, установить, кто стоит за конкретным приложением, удаётся далеко не всегда, особенно если регистрация в App Store была оформлена на подставную компанию.

Что делать, если вы устанавливали FomoPeek

Первое и самое важное: простое удаление приложения не решает проблему. Если Keychain устройства был скомпрометирован, содержавшиеся там ключи и seed-фразы нужно считать раскрытыми независимо от того, стоит приложение на телефоне или нет. Стандартная рекомендация экспертов, включая команду Binance, звучит так: создавать новые кошельки нужно исключительно на устройстве, которое никогда не запускало FomoPeek, а затем переводить туда все активы со старых адресов.

Порядок действий следующий. Сначала обновите iOS до последней доступной версии: часть уязвимостей из набора эксплойтов уже закрыта патчами Apple для актуальных сборок. Затем, используя другое, заведомо чистое устройство, воспользуйтесь восстановлением криптокошелька, сгенерируйте новые адреса и переведите на них все средства со старых кошельков, включая те, что напрямую не связаны с приложением, если они хранились на том же скомпрометированном iPhone. Смените пароли и коды двухфакторной аутентификации для всех сервисов, к которым мог быть доступ через Keychain. И наконец, если перевод средств злоумышленником уже произошёл, зафиксируйте адреса и время транзакций до начала любых дальнейших действий.

Если вывод средств уже случился

Как и в большинстве случаев кражи криптовалюты, здесь работает принцип: чем раньше начато расследование, тем выше шансы. Похищенные средства проходят через цепочку промежуточных адресов, прежде чем оказаться на бирже, где их можно попытаться заморозить по официальному запросу. Задача блокчейн-трейсинга в такой ситуации: построить граф транзакций от момента кражи до точки выхода в фиат и определить, на какой площадке оказались средства, чтобы направить туда запрос как можно быстрее, до того как злоумышленник успеет их обналичить.

«Отравление магазина приложений: не новая техника, но набор из восьми методов эксплуатации ядра в одном обновлении говорит о серьёзной подготовке атакующих. Для пользователя это значит одно: доверие к приложению, скачанному из официального магазина, больше не гарантия безопасности seed-фразы».

История FomoPeek: хороший повод пересмотреть общую гигиену хранения криптовалюты. Приложениям, которые запрашивают доступ к системным данным устройства, стоит доверять с осторожностью, даже если они официально одобрены магазином и активно продвигаются в крипто-сообществе. Крупные суммы разумнее хранить на аппаратных кошельках, физически изолированных от смартфона и его Keychain.

Как защититься от подобных атак в будущем

FomoPeek не первый случай отравления магазина приложений в криптосфере: исследователи упоминают похожие по механике кампании, включая нашумевший SparkKitty, нацеленный на кражу изображений с seed-фразами из галереи телефона. Общая черта таких атак: они рассчитаны не на прямой взлом кошелька, а на компрометацию самого устройства, через которое пользователь этим кошельком управляет.

Практические выводы для владельцев iPhone с криптоактивами: держите крупные суммы на аппаратных кошельках, физически не связанных с телефоном и его Keychain. Устанавливайте только те приложения, разработчик которых прозрачен и имеет проверяемую репутацию, а не только активную рекламную кампанию у инфлюенсеров. Регулярно проверяйте список приложений с системными разрешениями и удаляйте те, которыми давно не пользуетесь. И главное: ни одно легитимное приложение для отслеживания кошельков не нуждается в доступе к Keychain или другим приложениям, поэтому запрос таких разрешений сам по себе повод насторожиться.