Bösartige iPhone-App stiehlt Krypto im Wert von 580.000 Dollar

Eine bösartige iPhone-App, die über den offiziellen App Store verbreitet wurde, wird mit dem Diebstahl von Kryptowerten im Wert von Hunderttausenden Dollar in Verbindung gebracht. Die App FomoPeek konnte nach Angaben von Sicherheitsforschern mehrere Schutzmechanismen von iOS umgehen und auf sensible Daten auf iPhones zugreifen.

Das Sicherheitsunternehmen SlowMist untersuchte die App gemeinsam mit dem Sicherheitsteam der Kryptobörse OKX, nachdem mehrere Nutzer gemeldet hatten, dass Kryptowährungen aus ihren Wallets verschwunden waren. Die Forscher identifizierten schließlich eine Wallet-Adresse, auf der fast 580.000 USDT eingegangen waren.

FomoPeek umging Sicherheitsmechanismen von iPhones

Nach Angaben von SlowMist enthielt FomoPeek zwei schädliche Komponenten, die Sicherheitslücken in iOS ausnutzten. Dadurch konnte die App aus der abgeschotteten Umgebung ausbrechen, in der iPhone-Apps normalerweise laufen.

Das verschaffte den Angreifern laut den Forschern Zugriff auf sensible Bereiche des Geräts. So konnten sie Daten aus der Apple Keychain auslesen, in der unter anderem Passwörter und andere geschützte Informationen gespeichert werden können. Auch Dateien anderer Apps sollen zugänglich gewesen sein.

Für Krypto-Anleger kann das erhebliche Folgen haben. Gelangen sensible Daten einer Krypto-Wallet auf das Gerät und können von einem Angreifer ausgelesen werden, lassen sich damit unter Umständen Coins entwenden.

SlowMist entdeckte in FomoPeek insgesamt acht verschiedene Angriffsmethoden. Nach Angaben der Forscher funktionierten sie unter den iOS-Versionen 12.0 bis 18.7.2 sowie 26.0 bis 26.1.

Schädliche Versionen erschienen im App Store

Die Untersuchung begann, nachdem mehrere Opfer gemeldet hatten, dass Coins aus ihren Wallets verschwunden waren. Sie hatten allesamt eine betroffene Version von FomoPeek auf ihrem iPhone installiert.

Die schädlichen Versionen wurden am 9. und 12. September im App Store veröffentlicht. Am 17. September erschien Version 1.3. Darin waren die schädlichen Komponenten nach Angaben der Forscher entfernt worden.

Zu diesem Zeitpunkt war der Angriff jedoch bereits erfolgt. Eine Blockchain-Analyse führte zu einer Wallet-Adresse, auf der insgesamt 579.984 USDT eingegangen waren – mit einem Wert von rund 580.000 Dollar.

Die Adresse wurde am 15. September aktiv. Anschließend verteilten die Angreifer die Guthaben rasch auf verschiedene Blockchains und Wallet-Adressen. Dadurch ließ sich der weitere Geldfluss schwerer nachverfolgen.

Gestohlene Kryptowerte an mehrere Dienste weitergeleitet

Ein Teil der USDT-Bestände wurde den Forschern zufolge an verschiedene Kryptodienste weitergeleitet, darunter FixedFloat, KuCoin und cce.cash.

SlowMist und OKX versuchen, die Transaktionen weiter zu rekonstruieren und herauszufinden, wo die verbleibenden Coins gelandet sind. Die Untersuchung der Geldflüsse dauert an.