📰 Bei diesem FomoPeek-Diebstahl ist das Unheimlichste nicht die gefälschte Website, sondern dass Nutzer keinen bösartigen Vertrag angeklickt und keinen Seed (Wiederherstellungsphrase) aktiv in die Zwischenablage kopiert haben – die Wallet-Vermögenswerte auf dem Handy wurden dennoch direkt vollständig geleert.

Laut dem Sicherheits-Recall von Mantis (SlowMist) und dem OKX-Sicherheitsteam bindet FomoPeek in den Versionen 1.1–1.2 iOS-Kernel-Exploit-Code ein. Damit kann es je nach Gerätemodell und iOS-Version Rechte erlangen, die App-Sandbox durchbrechen, den iOS-Schlüsselbund auslesen und sogar andere Wallet-Daten sowie Notizen auf demselben Gerät scannen. Anschließend kann es den Klartext-Private Key still und heimlich abgreifen.

🔥 Besonders ärgerlich: Solche Angriffe müssen nicht zwangsläufig auf plumpem Phishing beruhen. Angreifer können zuerst KOLs (Key Opinion Leaders) für die Werbung gewinnen, dann mit echten Funktionen und einem Belohnungs-/Provisionsmodell die Vorsicht senken. Wenn die Installationszahlen und die angesammelten Zielvermögen dann ein bestimmtes Niveau erreicht haben, geben sie erst den schädlichen Code frei. Ehrlich gesagt: „Die Großen machen’s auch“ ist heute kein Sicherheitsbeweis mehr.

💡 Beim Thema Sicherheit der Private Keys gilt: Am besten bleibt man bei physischer Isolation. Bewahre die Seed-Phrase nicht im Handy-Fotoalbum, in Notizen, in Cloud-Speichern, E-Mail-Entwürfen oder in Chat-Apps auf. Und kopiere/füge sie auch nicht zwischen Handy und Computer hin und her. Robuster ist das Offline-Abschreiben: Die Kernwerte dann auf einer Metall-Seed-Platte speichern und getrennt aufbewahren.

👀 Auch die Geräte sollten geschichtet werden. Auf dem Hauptgerät für große Vermögenswerte: nur systemeigene Tools, offizielle Validatoren und passende Apps für Hardware-Wallets installieren. Das Ersatzgerät nutzt man nur zum Browsen/Twitteren, zum Testen neuer Tools und zum Starten eines Belohnungs-Provisions-Bots. Die im Artikel beschriebene Aufteilung ist: Der größte Teil in Cold Wallets oder Multi-Sig; ein mittlerer Teil in einer separaten Umgebung; nur ein kleiner Teil in Hot Wallets für Hochrisiko-Interaktionen.

🤔 Hast du früher die Seed-Phrase auf dem Handy gespeichert? Und würdest du dir jetzt speziell eine „Test-Dotter“-Maschine einrichten?

#Web3安全 #私钥安全 #钱包安全 #FomoPeek