手机系统漏洞年年出现，我们该如何保护链上资产？ 从 FomoPeek 事件看硬件钱包的安全价值 近日，安全团队对 FomoPeek 1.1—1.2 版本发出风险预警。 根据慢雾与 OKX 安全团队的分析，该应用除正常功能外，还被植入了与业务无关的恶意模块，其中包含一套针对 iOS 的内核漏洞利用框架，可根据设备型号和系统版本选择不同的攻击路径。 攻击成功后，恶意应用可能突破 iOS 原本的沙箱隔离，读取系统 Keychain，并访问其他 App 的数据文件。保存在手机中的私钥、助记词、登录凭据、聊天记录和本地文件，都可能面临泄露风险。PANews 对安全团队预警的整理 后续预警还提到，风险可能延伸至用户曾在设备上打开的备忘录。换句话说，如果用户把助记词、私钥或密码记录在备忘录、相册、聊天软件或本地文件中，即使钱包 App 本身没有漏洞，这些敏感信息仍可能因为手机系统被攻破而泄露。Odaily 原帖 需要说明的是，目前关于 FomoPeek 攻击范围和利用链的细节，主要来自安全团队的事件披露，并不代表 Apple 已经公开确认每一项攻击对应的具体 CVE。但 Apple 发布的 iOS 27 安全公告中，确实修复了包括“沙箱应用可能获得内核权限”“应用可能访问敏感数据”等多类问题。Apple iOS 27 安全公告 为什么手机系统漏洞几乎每年都会发生？ 手机操作系统并不是一个简单程序。 系统内同时运行着浏览器、即时通信、相机、蓝牙、支付、云同步、第三方 App 和大量底层服务。代码越复杂、功能越多，潜在攻击面也就越大。 正常情况下，iOS 和 Android 会通过沙箱、权限管理、数据加密和 Keychain 等机制，把不同 App 的数据隔离开来。 但是，如果攻击者掌握一条完整的漏洞链，就可能逐步完成： 恶意 App 运行 → 绕过系统限制 → 逃逸应用沙箱 → 获得更高系统权限 → 读取其他 App 或系统中的敏感数据 → 将私钥、助记词等信息发送到远程服务器 这也是为什么手机厂商每年都在修复大量安全漏洞。 漏洞每年出现，并不代表系统安全机制没有意义；真正的问题是，很多用户没有及时更新系统，而攻击者会把多个旧漏洞组合、打包，变成可以自动匹配不同机型和系统版本的攻击工具。 一旦这种工具进入黑灰产市场，攻击就会从“针对少数目标的技术攻击”，变成可批量传播的资产盗窃工具。 软件钱包最大的风险，是与手机共用同一个安全边界 大多数正规软件钱包不会直接以明文保存私钥，也会采用密码、系统加密、生物识别等保护措施。 但软件钱包仍然存在一个无法完全回避的问题：私钥的保存、解密和签名过程，最终需要依赖手机操作系统。 如果攻击者已经获得较高的系统权限，就可能尝试读取钱包数据、监控输入、窃取剪贴板、访问内存，或者直接寻找用户保存在备忘录和相册里的助记词。 手机密码、指纹和 Face ID 可以防止普通人直接打开设备，却不等于能够阻止已经利用系统漏洞运行的恶意代码。 这类事件真正提醒我们的，不是“不要使用手机钱包”，而是： 不应把日常上网、下载 App、浏览网页、聊天，以及大额资产私钥的保管，全部放在同一台设备、同一个操作系统里。 硬件钱包改变了什么？ 硬件钱包的核心价值，不只是“多了一台设备”，而是把私钥从手机操作系统中隔离出来。 以 KeyPal 2 为例，私钥的生成、保存和签名在硬件设备侧完成。正常交易过程中，手机负责联网、查询链上数据并构建交易，但不需要获得私钥本身。 一次完整的交易过程可以理解为： 手机生成待签名交易 → 通过扫码、蓝牙或 USB 发送给 KeyPal 2 → 用户在 KeyPal 2 屏幕上核对交易 → 在设备上确认并完成签名 → 签名结果返回手机并广播上链 即使手机系统出现漏洞，攻击者能够控制钱包 App 或读取手机数据，也不等于可以直接从手机里提取 KeyPal 2 中的私钥。 KeyPal 2 采用 SE 安全芯片与 MCU 双芯片架构，SE 安全芯片达到 CC EAL6+ 等级，并通过硬件真随机数生成私钥。私钥不会因为手机连接蓝牙、扫码或 USB 就被发送到手机。 它还配备独立 LCD 屏幕与实体按键。收款地址、转账金额、网络以及部分智能合约授权信息，需要在硬件设备上再次确认。 针对越来越复杂的 Web3 签名，KeyPal 2 还支持 PSBT、EIP-712、EIP-7702，以及 Approve、Permit、Permit2 等交易类型的识别与显示。 这点非常重要，因为今天的资产盗窃不一定需要直接偷走私钥。诱导用户签署恶意授权，同样可能导致资产被转走。硬件钱包不仅要隔离私钥，也要尽可能让用户看懂自己正在签署什么。 手机被攻破后，硬件钱包是不是就一定安全？ 不是。 硬件钱包提供的是安全隔离和独立确认，并不是“无论怎样操作都不会丢币”。 如果手机已经被控制，攻击者仍可能： 篡改收款地址或交易金额； 诱导用户签署恶意 Approve、Permit或Permit2授权； 把普通登录描述成转账确认； 通过钓鱼网站伪造钱包连接页面； 引导用户在手机中输入硬件钱包助记词； 利用用户不核对设备屏幕的习惯完成恶意签名。 因此，硬件钱包的独立屏幕不是装饰，而是最后一道人工确认防线。 手机屏幕上的信息只能作为参考，真正需要确认的是硬件钱包屏幕上显示的地址、金额、网络和授权内容。 扫码连接也不等于自动安全，蓝牙连接也不等于私钥联网。扫码、蓝牙和 USB 都只是交易数据的传输方式。真正决定安全性的，是私钥是否离开硬件设备、设备能否正确解析交易，以及用户有没有认真核对签名内容。 备份方式同样决定安全上限 如果用户购买了硬件钱包，却仍然把助记词拍照、复制到备忘录、发送到聊天软件或保存在云盘中，那么硬件隔离就失去了大部分意义。 KeyPal 2 支持通过 NFC 将助记词加密备份至内置安全芯片的 KeyPal Card，避免把备份保存在手机系统中；同时支持 Passphrase，可在原助记词基础上形成额外的钱包保护层。 对于更高价值资产，还可以结合 TokenPocket 多签，让一笔交易需要多个独立密钥共同授权。这样，即使其中一台手机、一个备份或一个签名设备出现问题，攻击者也无法仅凭单一密钥转走资产。 但需要注意：如果一套助记词在导入硬件钱包之前就已经泄露，硬件钱包无法让这套旧助记词重新变得安全。此时必须在可信设备上生成全新的助记词，并把资产转移到新地址。 普通用户应该怎么做？ 如果曾经安装或使用过 FomoPeek 1.1—1.2，或者怀疑设备已经受到类似恶意应用影响： 立即停止使用相关 App，不要重新安装。 将 iPhone 更新到最新可用系统版本。 检查地址余额、交易记录和链上授权是否异常。 不要继续在旧设备上输入或导入助记词。 在未安装过相关 App 的可信设备或硬件钱包上生成全新助记词。 撤销高风险合约授权，并尽快把资产转移到新地址。 如果已经发生资产异常，保留原设备、安装记录和交易证据，不要急于恢复出厂设置。 在日常使用中，建议把资产分成两层： 小额、高频交互资产，可以使用手机钱包； 长期持有或价值较高的资产，使用硬件钱包独立保管。 同时坚持几个基本原则： 助记词永远不要输入手机、网页或聊天窗口； 不在备忘录、相册、邮箱和云盘保存助记词； 只从官方渠道下载 App 和设备固件； 每次签名前核对硬件钱包屏幕； 看不懂的授权和签名不要确认； 大额资产可进一步使用 Passphrase 或多签保护。 真正的安全，是避免单点失守 手机系统未来仍然会出现新的漏洞。 我们无法要求任何操作系统永远没有漏洞，也无法保证自己永远不会打开恶意网页或下载有问题的 App。 更现实的安全思路，是不要让一次手机系统失守直接等于私钥失守。 硬件钱包的价值，不是宣称自己“永远不会被攻击”，而是通过安全芯片、私钥隔离、独立屏幕和设备确认，把攻击者需要突破的防线从一层增加到多层。 手机可以继续负责联网和交互。 但决定资产所有权的私钥，应该留在一个用途更单一、攻击面更小，并且能够独立完成交易确认的设备里。 KeyPal 2：让手机负责连接世界，让私钥留在安全边界之内。 👉 keypal.pro