la mejor y más segura forma de almacenar las credenciales de la API de PayPal

Poner las claves API en su aplicación es completamente inseguro. A través de una serie de técnicas, cualquier persona que pueda descargar la aplicación o tener en sus manos un teléfono con la aplicación puede simplemente leer la clave API. Esto se mantiene incluso si hace lo que sugirió @MatthiasBauch y descarga el secreto más tarde. También se mantiene incluso si hace lo que sugirió @Rexeisen y ofusca la cadena.

Lo mejor que puede hacer es usar los servicios de suscripción integrados de Apple para manejar los pagos (que pueden no ser aplicables y reciben una parte, pero es probable que sea más seguro que lo que puede hacer en el teléfono)

En el caso de que no quiera o no pueda hacer eso, asigne a cada instancia de la aplicación una identificación única que registren cuando se descarguen con un servidor que usted controle. Que sepa que tiene las credenciales de paypal y hará llamadas api en su nombre. De esta manera, si un teléfono determinado es robado o se le lee la clave API de su servidor, simplemente puede revocar esa clave y sus claves API de PayPal seguirán estando seguras. Advertencia importante: hasta que realmente revoques la clave de esa aplicación, cualquier persona que la tenga aún puede usarla para hacer lo que sea que admita tu servidor. Esto podría ser algo muy malo.

Es arriesgado ya que puede ejecutar la utilidad Strings en casi cualquier aplicación (pruébelo, da un poco de miedo) y obtener las cadenas del código. En general, recomendaría empaquetar los secretos en la aplicación, pero déjalos en un servidor seguro en otro lugar. Si debe ponerlo en la aplicación, una cosa que puede hacer es ofuscar las cadenas para que no sea obvio.

NSString *secret = kTwitterClientSecret;
NSData *secretData = [secret dataUsingEncoding:NSUTF8StringEncoding];
NSString *key = @"Twitter";
[secretData obfuscateOrDeobfuscateWithKey:key];
NSString *documentsPath = [NSSearchPathForDirectoriesInDomains(NSDocumentDirectory, NSUserDomainMask, YES) lastObject];
NSString *path = [NSString stringWithFormat:@"%@/%@-%@", documentsPath, key, @"output"];
[secretData writeToFile:path atomically:NO];
NSLog(@"Wrote obfuscated data to: %@", documentsPath);

Donde ofuscateOrDeobfuscateWithKey es una categoría en NSData

// Inspiration from: http://iosdevelopertips.com/cocoa/obfuscation-encryption-of-string-nsstring.html
- (void)obfuscateOrDeobfuscateWithKey:(NSString *)key
{
    // Get pointer to data to obfuscate
    char *dataPtr = (char *) [self bytes];

    // Get pointer to key data
    char *keyData = (char *) [[key dataUsingEncoding:NSUTF8StringEncoding] bytes];

    // Points to each char in sequence in the key
    char *keyPtr = keyData;
    int keyIndex = 0;

    // For each character in data, xor with current value in key
    for (int x = 0; x < [self length]; x++) {
        // Replace current character in data with current character xor'd with current key value.
        // Bump each pointer to the next character.
        *dataPtr = *dataPtr ^ *keyPtr;
        dataPtr++;
        keyPtr++;

        // If at end of key data, reset count and set key pointer back to start of key value
        if (++keyIndex == [key length]) {
            keyIndex = 0, keyPtr = keyData;
        }
    }
}

Entonces puedes declarar una constante para que sea algo como

static unsigned char const kTwitterClientSecret[] = {
    0x00, 0x00, 0x00, ... etc ... 
};
static unsigned int const kTwitterClientSecret_len = LENGTH;

Luego, para recuperar la cuerda, puedes hacer

[NSString deobfuscatedStringWithBytes:kTwitterClientSecret length:kTwitterClientSecret_len key:@"Twitter"];

Donde esta es una categoría en NSString

+ (NSString *)deobfuscatedStringWithBytes:(const void *)bytes length:(NSUInteger)length key:(NSString *)key
{
    NSData *deobfuscatedData = [NSData dataWithBytes:bytes length:length];
    [deobfuscatedData obfuscateOrDeobfuscateWithKey:key];
    return [[NSString alloc] initWithData:deobfuscatedData encoding:NSUTF8StringEncoding];
}

Esto hará una ofuscación muy simple y no aparecerá en cadenas.