App Malicioso FomoPeek na App Store Rouba Quase US$ 580 Mil em USDT de Usuários iOS

Aplicativo Malicioso FomoPeek na App Store Rouba Quase US$ 580 Mil em USDT de Usuários iOS

Um aplicativo fraudulento, o FomoPeek, distribuído através da App Store da Apple, foi vinculado ao roubo de aproximadamente US$ 580 mil em USDT. A exploração de vulnerabilidades no sistema operacional iOS permitiu que o software malicioso contornasse as proteções de segurança, acessando dados sensíveis como chaves privadas e frases mnemônicas armazenadas em iPhones.

A descoberta, investigada pela empresa de segurança blockchain SlowMist, levou a alertas de grandes plataformas de criptomoedas como Binance, OKX, Gate, Bitget Wallet e Rabby. O incidente sublinha a constante necessidade de vigilância no ecossistema cripto, mesmo em ambientes considerados seguros como as lojas de aplicativos oficiais.

Contexto e Detalhes da Exploração

O FomoPeek foi inicialmente promovido como uma ferramenta de monitoramento de grandes transações de criptomoedas nas redes Ethereum, Solana e Tron. No entanto, versões específicas do aplicativo, 1.1 e 1.2, lançadas em 9 e 12 de setembro, respectivamente, continham módulos maliciosos ocultos, conforme revelado pela SlowMist em colaboração com pesquisadores da OKX.

Esses módulos incluíam um framework de exploração de kernel com oito métodos de ataque, capaz de se adaptar ao modelo do iPhone e à versão do iOS da vítima. Um dos módulos também se comunicava com uma infraestrutura externa de comando e controle, permitindo que os atacantes enviassem instruções remotas ao aplicativo comprometido.

O sucesso da exploração permitia ao FomoPeek romper a "sandbox" do iOS, um mecanismo de isolamento que impede aplicativos de acessarem dados uns dos outros. Com essa quebra, o aplicativo ganhava acesso a informações do Keychain da Apple – onde senhas e credenciais são armazenadas – e a arquivos de outros aplicativos no dispositivo.

Yu Xian, fundador da SlowMist, explicou que, após um ataque bem-sucedido, o aplicativo conseguia ler e descriptografar o Keychain do sistema e acessar arquivos de dados de outros aplicativos. Isso colocava em risco chaves privadas, frases mnemônicas, credenciais de login, históricos de chat e outros dados de usuário armazenados localmente no dispositivo. Os componentes maliciosos foram removidos na versão 1.3 do FomoPeek, lançada em 17 de setembro.

A empresa de análise blockchain Salus identificou o endereço do atacante (0x6d37f2C5e8F8546b648D317295565dA95975f4BB) e estimou as perdas em cerca de 579.900 USDT. A Salus rastreou uma parte significativa dos fundos, com 401.028 USDT passando por endereços intermediários até a FixedFloat, e 20.000 USDT consolidados em uma carteira quente da KuCoin. Outros 111.458 USDT foram roteados por uma plataforma de custódia, e 10.000 USDT por um serviço de mixagem CCE.

Salus também indicou que o grupo por trás do incidente FomoPeek pode ter envolvimento em um roubo de chaves privadas ocorrido em junho, sugerindo um padrão de ataque. As plataformas de criptomoedas afetadas, incluindo a Binance, emitiram orientações urgentes, aconselhando os usuários a removerem o FomoPeek, atualizarem seus sistemas iOS e, crucialmente, moverem seus ativos para novas carteiras em dispositivos que nunca tiveram o aplicativo comprometido instalado. Esta medida é essencial porque a exclusão do aplicativo ou a atualização do sistema operacional não invalida uma chave privada que já pode ter sido copiada pelos invasores.

Impacto no Brasil e Medidas de Proteção

O incidente do FomoPeek ressalta a vulnerabilidade global de usuários de criptomoedas, incluindo o público brasileiro. Mesmo com a Lei 14.478/2022, o Marco Legal das Criptomoedas no Brasil, focando na regulamentação de prestadores de serviços, a segurança individual do investidor permanece uma responsabilidade primária. Usuários brasileiros de iPhones que interagem com o ecossistema de Ethereum e outras blockchains, especialmente aqueles que utilizam carteiras móveis, devem estar cientes dos riscos.

Ataques que exploram a camada do sistema operacional, como este, demonstram que a confiança em lojas de aplicativos oficiais não é suficiente. Para o investidor brasileiro, a lição é clara: a necessidade de educação em segurança digital é constante. Realizar a própria pesquisa (DYOR) sobre a reputação e as permissões de qualquer aplicativo antes de instalá-lo é fundamental, mesmo que ele esteja na App Store.

Exchanges brasileiras como Mercado Bitcoin, Foxbit ou NovaDAX, embora não diretamente atacadas, podem ter usuários que tiveram seus fundos comprometidos por meio de aplicativos maliciosos em seus dispositivos. Para mitigar riscos, é aconselhável que os investidores brasileiros considerem o uso de hardware wallets para a custódia de grandes volumes de criptoativos, mantendo apenas pequenas quantias em carteiras móveis para transações diárias. A Receita Federal exige a declaração de criptoativos, e a perda de fundos por golpes pode complicar a situação fiscal do contribuinte, reforçando a importância da segurança.

Próximos Passos e O Que Observar

As investigações sobre o incidente do FomoPeek continuam, com a Salus e outras empresas de segurança rastreando os fundos roubados. A comunidade de criptomoedas e os desenvolvedores de aplicativos devem observar as respostas da Apple para reforçar a segurança de sua App Store e do iOS contra explorações de kernel.

Este evento reacende o debate sobre a segurança de dispositivos dedicados para criptoativos versus hardware wallets. Embora a ideia de um iPhone isolado para transações cripto tenha sido discutida, este ataque mostra que a proteção é limitada se o software instalado no dispositivo puder comprometer o sistema operacional. A volatilidade dos mercados cripto é uma constante, e a segurança dos ativos digitais é um pilar fundamental para a sustentabilidade do setor. A decisão de investimento cabe a cada indivíduo após própria análise e pesquisa.