Prawie 10 mln USD skradzione w tydzień: Apple App Store przepuszcza fałszywy portfel Ledger
To bolesna lekcja dla wszystkich, którzy ufają „oficjalnym” źródłom bez ograniczeń. Złośliwa aplikacja, opublikowana przez dewelopera „Leva Heal Limited”, udawała oficjalne oprogramowanie firmy Ledger. Wynik? Ponad 50 ofiar i strata łączna rzędu 9,5 miliona dolarów.
Mechanizm ataku: Pułapka na seeda
Hakerzy nie łamali zabezpieczeń urządzenia Ledger. Wykorzystali najsłabsze ogniwo – pośpiech i brak czujności użytkownika:
- Instalacja: Użytkownicy pobierali aplikację z App Store, wierząc, że jest bezpieczna.
- Wyłudzenie: Aplikacja prosiła o podanie 24-wyrazowej frazy odzyskiwania (Seed Phrase) pod pretekstem „synchronizacji” lub „aktualizacji firmware”.
- Błyskawiczny drenaż: Po wpisaniu seeda, zautomatyzowane skrypty w kilka sekund czyściły portfele z BTC, TRX, SOL, XRP oraz wszystkich tokenów w sieciach EVM.
Kto stracił najwięcej?
Skala kradzieży poraża. Trzy największe ofiary straciły łącznie blisko 7,5 mln USD:
- 9 kwietnia: Jeden portfel stracił 3,23 mln USD w USDT.
- 11 kwietnia: Kolejna ofiara pożegnała się z 2,07 mln USD w USDC.
- 8 kwietnia: Straty w wysokości 1,95 mln USD w miksie BTC i Ethereum (stETH).
Pranie pieniędzy: Mikser AudiA6 i giełda KuCoin
Śledztwo ZachXBT wykazało, że skradzione środki zostały rozproszone na ponad 150 różnych adresów. Aby zatrzeć ślady, hakerzy użyli:
- AudiA6: Specjalistycznego miksera kryptowalut, popularnego w rosyjskojęzycznym półświatku cyberprzestępczym.
- KuCoin: Część środków próbowano upłynnić na tej giełdzie, co daje nadzieję na ich częściowe zamrożenie, jeśli współpraca organów ścigania będzie wystarczająco szybka.
Złota zasada bezpieczeństwa
Firma Ledger oraz wszyscy eksperci ds. bezpieczeństwa przypominają o najważniejszym:
Twoja 24-wyrazowa fraza odzyskiwania (Seed) NIGDY nie powinna być wpisywana do żadnej aplikacji, na komputerze ani telefonie. Służy ona WYŁĄCZNIE do wpisania fizycznie na urządzeniu Ledger podczas jego przywracania.
Podsumowanie: Czy App Store jest bezpieczny?
Incydent ten po raz kolejny stawia pod znakiem zapytania proces weryfikacji aplikacji przez Apple. Fakt, że podróbka kluczowego narzędzia finansowego była dostępna przez 14 dni i doprowadziła do milionowych strat, prawdopodobnie skończy się pozwami zbiorowymi przeciwko gigantowi z Cupertino.
Źródła:
