Una app maliciosa para iPhone roba 580.000 dólares en criptomonedas

Una aplicación maliciosa para iPhone distribuida a través de la App Store oficial ha sido relacionada con el robo de cientos de miles de dólares en criptomonedas. Según investigadores de seguridad, la app, FomoPeek, logró sortear varias capas de protección de iOS y acceder a datos sensibles almacenados en los iPhone.

La empresa de ciberseguridad SlowMist analizó la aplicación junto con el equipo de seguridad del exchange de criptomonedas OKX, después de que varios usuarios denunciaran la desaparición de fondos de sus carteras. Los investigadores acabaron identificando una dirección de wallet que había recibido casi 580.000 USDT.

FomoPeek sorteó la seguridad de los iPhone

Según SlowMist, FomoPeek contenía dos componentes maliciosos que explotaban vulnerabilidades de iOS. Con ello, la aplicación podía salir del entorno aislado en el que normalmente se ejecutan las apps del iPhone.

De acuerdo con los investigadores, esto dio a los atacantes acceso a partes sensibles del dispositivo. Entre otras cosas, pudieron leer datos del Llavero de Apple, donde se pueden almacenar contraseñas y otra información protegida. También habrían podido acceder a archivos de otras aplicaciones.

Para los titulares de criptomonedas, las consecuencias pueden ser importantes. Si datos sensibles de una cartera cripto quedan almacenados en el dispositivo y un atacante consigue leerlos, podría llegar a sustraer los activos.

SlowMist detectó en total ocho métodos de ataque distintos en FomoPeek. Según los investigadores, funcionaban en las versiones de iOS de la 12.0 a la 18.7.2 y de la 26.0 a la 26.1.

Versiones maliciosas llegaron a la App Store

La investigación comenzó después de que varias víctimas alertaran de que habían desaparecido criptomonedas de sus carteras. Todas ellas habían instalado en su iPhone una versión afectada de FomoPeek.

Las versiones maliciosas aparecieron en la App Store los días 9 y 12 de septiembre. El 17 de septiembre se lanzó la versión 1.3, en la que, según los investigadores, los componentes dañinos ya habían sido eliminados.

Para entonces, sin embargo, el ataque ya se había ejecutado. El análisis de la blockchain reveló una dirección de wallet que había recibido en total 579.984 USDT, por un valor aproximado de 580.000 dólares.

La dirección se activó el 15 de septiembre. Después, los atacantes distribuyeron rápidamente los fondos entre varias blockchains y direcciones de wallet, lo que dificultó seguir el rastro del dinero.

Las criptomonedas robadas se enviaron a varios servicios

Según los investigadores, una parte de los USDT fue enviada a distintos servicios cripto, entre ellos FixedFloat, KuCoin y cce.cash.

SlowMist y OKX intentan seguir reconstruyendo las transacciones y determinar dónde acabaron el resto de los fondos. La investigación sobre los flujos de dinero sigue en curso.