Por Canuto  

Una aplicación presentada como rastreador del mercado cripto llegó a la App Store con código capaz de extraer claves privadas, frases semilla y otros datos de iPhone y iPad.
***

  • FomoPeek incorporó código malicioso en sus versiones 1.1 y 1.2, según investigadores de SlowMist y OKX.
  • El malware podía utilizar exploits del kernel de iOS para salir del aislamiento de las aplicaciones y leer información sensible.
  • Binance recomienda eliminar la app, actualizar iOS y trasladar los fondos a una nueva billetera desde un dispositivo seguro.

 

Una aplicación de seguimiento del mercado de criptomonedas distribuida por la App Store de Apple pudo exponer a usuarios de iPhone y iPad a un posible robo de información crítica. Binance emitió una alerta sobre FomoPeek después de que investigadores identificaran código capaz de extraer claves privadas, frases semilla y otros datos sensibles de los dispositivos donde se instalaron ciertas versiones.

El riesgo no se limitaba a una billetera específica ni a una plataforma de intercambio determinada. Si un atacante obtiene la clave privada que controla una billetera o la frase semilla que permite recuperarla, puede tomar el control de los fondos, mientras que el acceso a otras credenciales, chats y archivos amplía el impacto potencial sobre la privacidad del usuario.

Una aplicación legítima como fachada

FomoPeek se presentaba ante los usuarios como una herramienta para seguir la evolución del mercado cripto, una función aparentemente rutinaria para quienes consultan precios y movimientos de activos digitales desde el teléfono. La aplicación no llegó mediante una descarga desde una página desconocida, sino a través de la tienda oficial de Apple, un elemento que podía transmitir una sensación adicional de confianza.

El análisis de SlowMist, realizado junto con el equipo de seguridad de OKX, encontró dos módulos ocultos dentro de las versiones 1.1 y 1.2. Ninguno de esos componentes correspondía a las funciones anunciadas por la aplicación, y su presencia convirtió una herramienta de seguimiento aparentemente común en un posible vector de intrusión contra el dispositivo completo.

De acuerdo con los investigadores, uno de los módulos incluía un marco de explotación del kernel de iOS con ocho métodos de ataque diferentes. El sistema podía seleccionar el exploit más apropiado según el modelo del dispositivo y la versión del sistema operativo, una capacidad que permitía adaptar el intento de intrusión a distintas configuraciones de iPhone y iPad.

El marco cubría versiones de iOS desde la 12.0 hasta la 26.1, aunque los investigadores señalaron que los dispositivos con sistemas más antiguos enfrentaban el mayor riesgo. La amplitud de ese rango mostraba que el problema no dependía de una única generación de equipos, sino de la posibilidad de aprovechar vulnerabilidades en varias versiones del sistema operativo.

Cómo podía operar el código malicioso

iOS utiliza un mecanismo de aislamiento conocido como sandbox para impedir que una aplicación acceda libremente a los datos de las demás. En condiciones normales, una aplicación de seguimiento de precios no debería poder leer las claves almacenadas por una billetera, las conversaciones de mensajería ni los archivos privados de otros programas.

Según el análisis de seguridad, un exploit exitoso podía permitir que FomoPeek escapara de ese aislamiento y alcanzara información perteneciente a otras aplicaciones. Entre los datos que podían quedar expuestos se encontraban claves privadas, frases de recuperación de billeteras, credenciales de inicio de sesión, mensajes de chat y archivos guardados en el dispositivo.

La diferencia entre una clave privada y una frase semilla resulta fundamental para entender la gravedad del incidente. La primera funciona como el secreto que autoriza el control de una billetera, mientras que la segunda constituye el respaldo utilizado para restaurarla; la exposición de cualquiera de las dos puede permitir que un tercero vacíe los activos asociados.

El código también podía recibir instrucciones remotas de sus operadores, quienes tenían la capacidad de controlar con qué frecuencia se ejecutaba el exploit. Esa característica habría permitido ajustar el comportamiento del malware después de la instalación, en lugar de depender de una única acción visible al abrir la aplicación por primera vez.

La cronología y el alcance del incidente

La versión 1.0 de FomoPeek no contenía el código malicioso identificado por los investigadores. El análisis situó la introducción de los componentes dañinos el 9 de septiembre, cuando la aplicación pasó a la versión 1.1, y señaló que el código permaneció en la versión 1.2 publicada el 12 de septiembre.

El código fue eliminado en la versión 1.3, distribuida el 17 de septiembre, según la investigación de SlowMist. Entre la incorporación del malware y su retirada transcurrieron más de siete días, un intervalo durante el cual los usuarios pudieron instalar la aplicación sin advertir que sus dispositivos contenían funciones ajenas al propósito anunciado.

La alerta divulgada por Binance el lunes 21 de septiembre de 2026 pidió a los usuarios revisar si alguna vez habían instalado FomoPeek. La recomendación resulta relevante incluso para quienes ya eliminaron la aplicación, porque borrar el programa no revierte por sí mismo la posible exposición de credenciales ni invalida una clave privada que haya podido ser copiada.

El incidente también plantea un problema más amplio que el robo de criptomonedas. Binance subrayó que la amenaza se dirigía al dispositivo y no a una aplicación cripto particular, por lo que un ataque exitoso podía comprometer información de múltiples servicios instalados en el mismo teléfono.

Qué deben hacer los usuarios afectados

La primera medida recomendada consiste en eliminar FomoPeek y actualizar iOS a la versión más reciente disponible para el dispositivo. La actualización puede reducir la exposición a vulnerabilidades conocidas, aunque no garantiza por sí sola que las claves, frases semilla o contraseñas que estuvieron al alcance del malware sigan siendo secretas.

Los usuarios que administren sus fondos mediante billeteras de autocustodia deben crear una billetera nueva desde un dispositivo que nunca haya tenido instalada la aplicación. Después, Binance aconseja transferir todos los activos a la nueva dirección, una medida que busca retirar los fondos de cualquier billetera cuyas credenciales pudieran haber sido copiadas.

La recomendación implica actuar con cuidado durante la transferencia, porque la seguridad de la nueva billetera depende del dispositivo y del proceso utilizados para generarla. La nueva frase semilla no debe introducirse en el teléfono potencialmente comprometido, ni reutilizarse una frase que haya estado almacenada, fotografiada o escrita en ese equipo.

Quienes observen actividad inusual deben conservar el dispositivo afectado y comunicarse con el soporte de Binance. Mantener el equipo puede ayudar a preservar información relevante para la revisión del incidente, mientras que la vigilancia de los movimientos de la billetera y de los accesos a otras cuentas permite detectar consecuencias que aparezcan después de la instalación.

Una advertencia para el ecosistema móvil

La distribución de FomoPeek mediante la App Store no elimina la necesidad de revisar los permisos, la reputación y el comportamiento de las aplicaciones relacionadas con activos digitales. La presencia en una tienda oficial puede reducir ciertos riesgos de distribución, pero no sustituye las auditorías de código ni impide que una actualización posterior incorpore funciones maliciosas.

Para los usuarios cripto, el caso recuerda que la seguridad de una billetera depende también del entorno donde se generan y almacenan sus credenciales. Una aplicación sin relación aparente con la custodia puede convertirse en una amenaza si consigue escapar del aislamiento del sistema operativo y acceder a los datos de otros programas.

La cronología descrita por los investigadores deja además una lección sobre la importancia de las alertas rápidas y de las versiones exactas del software. FomoPeek 1.0 fue considerada limpia en el análisis, mientras que las versiones 1.1 y 1.2 concentraron el problema y la 1.3 retiró el código, por lo que comprobar el historial de instalación resulta esencial.

Hasta que cada usuario descarte una posible exposición, la prioridad no debe ser únicamente recuperar el acceso a una aplicación, sino proteger los secretos que controlan los activos y la información personal. En una billetera de autocustodia, cambiar de dispositivo y trasladar los fondos puede ser la diferencia entre una alerta preventiva y una pérdida irreversible.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados