FomoPeek volé : vous avez besoin de ce tout nouveau guide de sécurité des clés privées !

Auteur : Alan | Équipe de contenu Biteye

01 / FomoPeek volé, les griffes de la forêt sombre des cryptomonnaies réapparaissent

Au cours des deux derniers jours, le marché a montré des signes de réchauffement, mais Twitter a explosé avec des nouvelles choquantes : plusieurs joueurs sur la chaîne ont vu leurs actifs de portefeuille vidés instantanément sans aucune interaction anormale. Après une analyse conjointe des équipes de sécurité de SlowMist et d'OKX, le coupable a été identifié comme l'outil de surveillance des mèmes ------ FomoPeek (versions 1.1--1.2).

L'analyse inverse a révélé des détails glaçants :

• Ce n'est pas du phishing traditionnel : les utilisateurs n'ont collé leurs phrases de récupération sur aucun site frauduleux et n'ont pas cliqué sur des signatures sur des contrats malveillants ;

• Exploitation au niveau du noyau du système : cette application a intégré un code d'exploitation du noyau iOS, capable d'élever automatiquement les privilèges en fonction des différents modèles et versions du système ;

• Évasion de sandbox et vol silencieux : contournement des restrictions de la sandbox des applications iOS, décryptage direct du trousseau de clés système (Keychain), et même numérisation des données d'autres portefeuilles et mémos système sur le même appareil, renvoyant silencieusement les clés privées en clair vers les serveurs des hackers.

L'interface de téléchargement iOS de FomoPeek auparavant

Cet incident malveillant a directement brisé l'illusion de sécurité des « applications iOS » dans le monde des cryptomonnaies, révélant une réalité brutale : la lutte dans la forêt sombre des cryptomonnaies a encore une fois évolué. Vous devez mettre à jour votre méthodologie de protection des clés privées.

02 / Nouvelle forme de « chasse sociale » des hackers : analyse complète de la chaîne

Les méthodes utilisées par les hackers, comme les « faux airdrops, faux services clients, comptes Twitter imitant », sont devenues difficiles à tromper pour les anciens joueurs. Ainsi, les équipes de hackers ont déplacé leur attention vers des chaînes de manipulation plus avancées en ingénierie sociale :

🔗 Investissement dans des contrats commerciaux avec des KOL ──> Lancement de remises et de fonctionnalités réelles ──> Les utilisateurs installent sur leur téléphone ──> Exploitation des vulnérabilités du système du téléphone pour vider les clés privées

Étape 1⃣ : « Acheter » la réputation des KOL

De nombreux blogueurs et KOL n'ont pas les compétences en ingénierie inverse ou en audit de code, et face à des budgets publicitaires de plusieurs milliers, voire dizaines de milliers de dollars, ils perdent facilement leur vigilance. Les petits investisseurs voient des chercheurs et des traders qu'ils suivent depuis longtemps recommander sur Twitter, et leur défense psychologique s'effondre instantanément : « Les grands noms l'utilisent, ça ne peut pas être un problème. »

Étape 2⃣ : Utiliser « fonctionnalités pratiques + petites remises » comme appât

Les sites de phishing d'autrefois étaient des sites vides malveillants dès l'ouverture, tandis que cette fois, l'interface de l'application malveillante propose non seulement des fonctionnalités réelles et pratiques, mais aussi un « mécanisme de remise d'invitation ». Les petits investisseurs, sous l'attrait de « pouvoir surveiller le marché et gagner des remises de quelques dollars par jour », perdent complètement leur vigilance sur les permissions de base du logiciel.

Étape 3⃣ : Libérer le « poison technique » au sommet de la confiance

Les hackers n'ont pas agi dès le premier jour, mais ont attendu que la base d'installations s'élargisse et que les actifs des grandes cibles s'accumulent. Le code malveillant n'a même pas besoin d'être présent en permanence, utilisant les vulnérabilités du système pour échapper silencieusement à la sandbox, lire le trousseau de clés, fouiller les mémos locaux, et emporter les clés privées des utilisateurs.

03 / Tutoriel essentiel : Guide ultime de protection des clés privées Web3

Puisque les pièges des hackers en ingénierie sociale et les vulnérabilités 0-Day du système sont difficiles à éviter, comment les joueurs ordinaires peuvent-ils se protéger ?

⭐ La réponse est simple, mais difficile : protégez vos clés privées.

Établissez un système de « défense multicouche et d'isolement physique », garantissant que même si vous êtes induit en erreur par certains KOL ou si vous téléchargez une application malveillante, les hackers ne peuvent physiquement pas accéder à vos clés privées.

1⃣ Première ligne de défense : hygiène des appareils et des systèmes

La raison fondamentale pour laquelle l'attaque de FomoPeek a réussi réside dans les vulnérabilités du système iOS. Le mythe de l'écosystème d'Apple a également montré ses failles lors de cet incident.

👇 La défaillance et la négligence d'Apple iOS

• Dysfonctionnement du mécanisme de révision : beaucoup croient que « toutes les applications disponibles sur l'App Store sont sûres », mais les hackers contournent facilement les révisions manuelles et automatisées d'Apple grâce à des instructions dynamiques et des modules d'affaires secondaires cachés, permettant à des applications malveillantes avec des cadres d'attaque du noyau de circuler librement dans le magasin officiel.

• Réponse et correction des vulnérabilités lentes : le « confinement sandbox » longtemps vanté par iOS n'est pas invulnérable. Les vulnérabilités du noyau exploitées par les hackers circulent depuis longtemps sur le dark web ou dans les cercles de sécurité, et Apple n'est pas agressif dans la diffusion de correctifs de sécurité pour les anciennes versions du système, ce qui a conduit de nombreux iPhones restant sur d'anciennes versions iOS à devenir des « distributeurs automatiques » pour les hackers.

👇 Principe d'auto-nettoyage de l'environnement des appareils

• Gardez le système à jour, ne vous plaignez pas des mises à jour : dans le Web3, chaque mise à jour mineure du système est en fait un correctif pour les chaînes d'attaques 0-Day / N-Day que les hackers exploitent. Rester sur un ancien système, c'est comme marcher nu dans une forêt sombre la nuit.

• Ne téléchargez pas d'applications étranges : toute application de surveillance peu connue, non essentielle, non populaire et non open-source ne doit pas être installée sur le téléphone principal contenant des actifs ; il est également strictement interdit d'installer des « fichiers de description (Mobileconfig) » ou des applications signées par des entreprises inconnues.

• Ne pas jailbreaker (Jailbreak) : jailbreaker équivaut à fermer délibérément la dernière porte de sécurité du système d'exploitation.

2⃣ Deuxième ligne de défense : « ne jamais laisser de traces numériques des phrases de récupération »

Une grande caractéristique de nombreux logiciels malveillants est de scanner les mémos non chiffrés locaux. Beaucoup de victimes pensent qu'elles « n'ont pas envoyé leurs phrases de récupération à qui que ce soit », mais en réalité, pour des raisons de commodité, elles ont déjà enregistré les 12 mots dans le mot de passe local de l'iPhone, dans les mémos, dans la galerie de photos ou dans des applications de messagerie.

👇 Comportements « à découvert » à interdire

• ❌ Captures d'écran / photos dans la galerie : les galeries modernes de téléphones sont dotées de reconnaissance de texte OCR et de synchronisation automatique dans le cloud, facilement extraites par des applications ayant des permissions volées ;

• ❌ Stockage dans des mémos, Notion, cloud, brouillons d'e-mail : tant que la sandbox de l'appareil est compromise, ces fichiers sont tous en clair ;

• ❌ Envoyer à WeChat « Assistant de transfert de fichiers » ou TG « Messages enregistrés » ;

• ❌ Copier et coller les phrases de récupération entre l'ordinateur et le téléphone : les scripts d'écoute du presse-papiers peuvent capturer le contenu du presse-papiers en quelques millisecondes.

👇 Méthodes de sauvegarde physique correctes

• ✅ Écriture manuelle hors ligne : dans un espace privé sans caméra, écrivez sur une carte en papier, en vérifiant deux fois ;

• ✅ Plaque de phrases de récupération en métal (Crypto Steel) : pour les actifs essentiels, le papier est facilement endommagé par l'humidité. Utilisez des plaques en acier inoxydable ou en alliage de titane pour les sceller, résistant au feu, à l'eau et à la corrosion, et conservez-les en deux endroits différents.

3⃣ Troisième ligne de défense : stratification des actifs et « appareils dédiés »

Mettre tous les actifs dans le même portefeuille de téléphone pour jouer à de nouveaux outils ou à des projets risqués, c'est comme se promener dans un marché chaotique avec de l'or sur soi. Il est donc également nécessaire d'établir un isolement physique des fonds.

👇 Mise en œuvre d'une structure d'actifs « 3:5:2 »

【Stockage à froid / coffre-fort】 70%~80% de gros fonds ──> Portefeuille matériel à froid / multi-signatures Safe, les clés privées ne touchent jamais le réseau, ne participent jamais aux autorisations quotidiennes │

【Intermédiaire / stockage à chaud】 15%~20% de fonds à moyen terme ──> PC indépendant et pur, n'interagissant qu'avec des protocoles principaux déjà audités │

【Autorisation dédiée / stockage à chaud】 5%~10% de fonds à usage courant ──> Appareil de secours indépendant / portefeuille chaud, uniquement utilisé pour des projets risqués, tester de nouveaux outils, récolter des bénéfices │

📱 Établir un « appareil dédié pour tester » pour réaliser un isolement physique de l'environnement

• Appareil principal (appareil coffre-fort) : n'installer que le système natif du téléphone, le vérificateur officiel, les applications associées au portefeuille matériel. Ne jamais installer de logiciels de surveillance peu connus, de plugins auxiliaires, de scripts de course, ni rejoindre des groupes aléatoires.

• Appareil de test (appareil de secours) : préparer un appareil de secours inutilisé, spécifiquement pour naviguer sur Twitter, essayer de nouveaux outils recommandés par des KOL, exécuter des bots de remise, etc. Même si cet appareil est compromis, il ne contiendra que quelques dollars de fonds d'usure, et le gros des actifs restera intact.

4⃣ Quatrième ligne de défense : réduction des permissions et défense contre les signatures

Même si les clés privées n'ont pas été volées, les hackers peuvent également vider des fonds en trompant les signatures.

👇 Distinguer d'abord les types de signatures :

• Transfer signifie transférer directement des fonds ;

• Approve signifie autoriser un montant de jetons à un contrat intelligent spécifique (interdiction d'ouvrir des autorisations illimitées pour des protocoles inconnus) ;

• Permit / Permit2 est une signature d'autorisation hors ligne sans frais, les sites frauduleux aiment les déguiser en « connecter le portefeuille » ou « réclamer un airdrop », il est impératif de vérifier le Spender (partie autorisée) et le montant avant de signer.

👉 Utiliser des plugins de simulation de transaction : installer Rabby Wallet ou des plugins de navigateur Scam Sniffer, Pocket Universe, pour voir clairement les simulations de variation d'actifs avant de cliquer ;

👉 Nettoyer régulièrement les autorisations (Revoke) : visiter Revoke.cash chaque semaine ou chaque mois pour nettoyer les autorisations des protocoles inutilisés depuis longtemps.

5⃣ Cinquième ligne de défense : « auto-examen » lors des interactions quotidiennes

Dans la forêt sombre, la meilleure défense est de contrôler ses mains. Chaque fois qu'un KOL recommande un nouveau projet, qu'une remise élevée attire votre attention, que vous vous apprêtez à télécharger une nouvelle application ou à cliquer sur une signature, vous devez passer par les trois étapes suivantes pour un auto-examen :

👇 Détecter les pièges d'ingénierie sociale

• Vérifier la fréquence de promotion : cet outil a-t-il été soudainement recommandé par de nombreux KOL en 1 à 2 jours ?

• Analyser la logique commerciale : utilise-t-il des remises très élevées et des incitations à attirer de nouveaux utilisateurs pour masquer son véritable modèle de profit ?

• Briser l'illusion de la caution : se rappeler constamment que « les contrats commerciaux des KOL ne sont que de la publicité », DYOR.

👇 Isoler l'environnement d'opération

• Appareil principal avec veto : ne jamais installer d'applications ou de scripts d'essai sur le téléphone principal contenant des actifs majeurs.

• Insister sur l'utilisation d'un appareil de secours : pour essayer de nouveaux outils, jouer à des remises, avez-vous vraiment utilisé un appareil de secours indépendant ?

• Être vigilant sur les permissions sensibles : le logiciel vous incite-t-il à installer des « fichiers de description (Mobileconfig) », des certificats de signature d'entreprise ou à contourner l'App Store pour installer ? Si tel est le cas, arrêtez immédiatement.

👇 Protéger les frontières des clés privées

• Nettoyer les traces locales : les mémos, galeries, poubelles de captures d'écran, presse-papiers de l'appareil sont-ils complètement nettoyés, sans aucune trace de phrases de récupération ?

• Déconnexion physique des gros actifs : tous les actifs majeurs sont-ils stockés en toute sécurité dans un portefeuille matériel à froid, et les phrases de récupération n'ont-elles jamais été saisies à l'envers dans le téléphone ou l'ordinateur ?

• Minimiser le solde du portefeuille chaud : le portefeuille d'escale actuellement utilisé pour les interactions conserve-t-il uniquement des fonds d'usure très faibles (rechargeable au besoin, sans regrets en cas de vol) ?

04 / Conclusion

La décentralisation nous a apporté une propriété totale de nos actifs, mais le prix à payer est que : le contrôle des risques bancaires et la sécurité des points de vente sont finalement à votre charge. Nous devons être responsables de notre portefeuille et de nos actifs sur la chaîne.

Alors que les méthodes des hackers passent de « phishing basique » à « lavage de cerveau par KOL + exploitation du noyau sous-jacent », faire confiance aveuglément à la marque de l'appareil ou à la caution d'un grand V n'est plus suffisant. Pour lutter contre cette chasse de haut niveau, l'arme la plus efficace n'est pas une technologie de hacking complexe, mais les règles et la discipline les plus simples :

Rester sceptique face au marketing sur les réseaux sociaux, bien isoler l'environnement des appareils, déconnecter complètement les phrases de récupération, et garder les gros actifs en sécurité dans des puces sécurisées.

Ne pas céder à de petits gains, protéger les frontières des clés privées, vous pourrez traverser le marché haussier et baissier dans la forêt sombre du Web3.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.