FomoPeek 借 iOS 内核漏洞偷私钥：加密钱包被盗

深夜的手机屏幕还亮着，链上行情刚闪过一波异动，钱包余额却在下一秒像被抽走空气一样归零。很多人以为 iPhone 天然安全，直到 SlowMist 接连收到多起资产被盗报告，线索最后都指向同一个名字：FomoPeek。更刺痛的是，中招用户几乎都遇到过私钥泄露，而且手机里都装过或正装着这个看似“只做监控”的应用。

FomoPeek 的伪装并不粗糙。它对外讲的故事很顺：不是钱包，不碰交易，只盯着链上资金流动，一旦有风吹草动就推送提醒。对天天看盘、追热点、怕错过叙事的人来说，这类工具像一双额外长在市场上的眼睛。问题也正藏在“额外”两个字里。安全团队拆解后发现，它体内塞进了两块和主业完全无关的模块，安静、隐蔽，却像给攻击者留了一扇不挂牌的后门。

真正让人后背发凉的是层级。FomoPeek 内置了面向 iOS 内核的漏洞利用框架，能按设备型号和系统版本自动挑攻击路径；一旦得手，就可能撕开沙箱限制，去碰钥匙串里的加密数据，甚至读取其他应用落盘的文件。换算成普通用户听得懂的话：钱包私钥、助记词、种子短语、登录凭证、聊天记录、本地文件，这些平时被默认“锁在系统里”的东西，都可能被拖进敌方的视线，再上传到远端服务器。更糟的是，它还能等指令，像一台已经入户的窃听器，随时等外面敲墙。

这件事最容易被误解的地方，是版本边界。公开威胁警报提到，这套内核级利用覆盖 iOS 12.0 到 18.7，也波及 iOS 26.0 到 26.1，本质上是啃苹果已经修过的老漏洞。听起来像“旧闻”，但危险恰恰在这里：漏洞修了，不代表每台设备都更新了。有人嫌升级后掉电、发热、变卡，随手关掉自动更新；有人 root 在旧系统的稳定感里，一拖就是几个月。对普通 App，这可能只是少个表情；对加密货币用户，这等于把金库门钥匙放在已经通报过缺陷的锁孔上。

传播链路也同样不高级，却极其有效。新项目冷启动慢，FomoPeek 便花钱找 KOL 喊单，用推荐码、注册奖励、邀请返利铺进社区。截图里，新手注册能拿 7 USDT，带量的 KOL 拿得更多。 incentivized 的推荐像温水，用户以为自己在薅羊毛，实际是把攻击面亲手装进口袋。等钱包被清空，链上转账不可撤回，报案、申诉、找平台，常常都只能围着一笔已经飞走的哈希打转。

把这起事件往深处看，内核级攻击正在从“稀有大杀器”滑向“批量工具”。NodeSeek 社区早前有人放出虚假的免费 VPS 活动，同样被指套用了 DarkSword 系列攻击框架；谷歌在 2026 年 3 月报告过相关 iOS 高危安全问题，苹果随后在版本更新中补上。能进内核，意味着边界不再只是“别点陌生链接”那么单纯，也说明攻击者愿意把高成本武器砸向看起来散户、实则现金流密集的人群。

所以结论并不玄学：把 iOS 自动更新打开，把系统停在最新稳定版，别因为一时卡顿就把安全闸门锁死。对持有加密资产的人，iPhone 的价值不在 Logo，而在补丁速度、沙箱强度和钥匙串防护是否还能站在最新战线上。再多一层习惯也便宜：来源不明的应用不装，来路不清的活动不碰，热钱包只留活钱，大额资产交给硬件钱包或更冷的分层方案；助记词不上云、不截图、不进聊天框。市场会奖励快，但安全只认旧道理——补丁落在设备上，钥匙才真正在你手里。