📰 Cette fois, FomoPeek a été piraté : le plus glaçant n’est pas le faux site, mais le fait que les utilisateurs n’ont pas cliqué sur un contrat malveillant, ni collé volontairement une phrase mnémonique, et que pourtant les avoirs du portefeuille dans leur téléphone ont été vidés directement.

D’après le compte rendu de SlowMist et de l’équipe sécurité d’OKX, les versions FomoPeek 1.1 à 1.2 intègrent du code d’exploitation du noyau iOS. Celui-ci peut, selon les différents modèles et versions de système, obtenir des privilèges (privilège escalation), contourner le bac à sable des applications, lire le trousseau système (Keychain), voire scanner d’autres données de portefeuilles et des mémos sur le même appareil, avant d’exfiltrer silencieusement les clés privées en clair.

🔥 Le plus embêtant, c’est que ce type d’attaque ne passe pas forcément par du phishing grossier. Les pirates peuvent d’abord recruter via des KOL, promouvoir l’application, puis s’appuyer sur des fonctionnalités réelles et un mécanisme de commissions pour réduire la méfiance. Une fois les installations et les avoirs ciblés suffisamment accumulés, ils ne libèrent le code malveillant qu’à ce moment-là. Honnêtement, « tout le monde chez les pros l’utilise » n’est plus une preuve de sécurité.

💡 Pour la sécurité des clés privées, il faut revenir à l’isolation physique : ne conservez pas la phrase mnémonique dans la Galerie, Notes, un service cloud, des brouillons d’e-mail ou une application de messagerie. Et ne faites pas de copier-coller entre téléphone et ordinateur. La méthode la plus sûre consiste à la recopier hors ligne, à sauvegarder les actifs clés sur une plaque/matériau métallique dédié à la phrase mnémonique, puis à les stocker séparément.

👀 Pensez aussi à segmenter l’équipement. Sur la machine principale, n’installez que les outils natifs du système, les validateurs officiels et les applications dédiées aux portefeuilles matériels ; la machine de secours sert à tweeter, tester de nouveaux outils et faire tourner un bot de commissions. L’idée de répartition des fonds donnée dans l’article est la suivante : la majeure partie dans un portefeuille froid ou en multi-signature ; une partie intermédiaire dans un environnement isolé ; et seulement une petite quantité dans un portefeuille chaud pour des interactions à haut risque.

🤔 Auparavant, stockiez-vous la phrase mnémonique sur votre téléphone ? Et maintenant, préparez-vous peut-être une « machine à essayer le poison » dédiée ?

#Web3安全 #私钥安全 #钱包安全 #FomoPeek