Ψεύτικη εφαρμογή Ledger Live στο Apple App Store άντλησε 9,5 εκατ. $ από θύματα: ZachXBT

Ο ερευνητής onchain ZachXBT δήλωσε ότι μια ψεύτικη εφαρμογή Ledger Live που εμφανιζόταν στο App Store της Apple συνδέθηκε με περίπου 9,5 εκατομμύρια δολάρια σε κλεμμένα κρυπτονομίσματα από περισσότερα από 50 πιθανά θύματα μεταξύ 7 και 13 Απριλίου.

Σε ανάρτηση στο Telegram την Τρίτη, ο ZachXBT ανέφερε ότι οι υποτιθέμενες κλοπές επηρέασαν χρήστες σε δίκτυα Bitcoin, Solana, Tron, XRP Ledger και συμβατά με Ethereum Virtual Machine (EVM). Ισχυρίστηκε ότι τα κλεμμένα κεφάλαια ξεπλύθηκαν μέσω περισσότερων από 150 διευθύνσεων κατάθεσης του KuCoin που φέρεται να συνδέονται με το AudiA6, το οποίο περιέγραψε ως κεντρική υπηρεσία ανάμειξης. 

Ο ZachXBT δήλωσε ότι η ψεύτικη εφαρμογή αφαιρέθηκε από την Apple στις 13 Απριλίου και εντόπισε τρεις απώλειες επταψήφιων ποσών μεταξύ των μεγαλύτερων γνωστών περιπτώσεων. Ανέφερε ότι ένα θύμα έχασε περίπου 1,95 εκατομμύρια δολάρια σε Bitcoin (BTC), staked Ether (stETH) και Ether (ETH), ένα άλλο έχασε 3,23 εκατομμύρια δολάρια σε USDt (USDT) στις 9 Απριλίου, και ένα τρίτο θύμα έχασε περίπου 2 εκατομμύρια δολάρια σε USDC (USDC) στις 11 Απριλίου.

Ο ZachXBT δήλωσε ότι το Kucoin είχε δει αύξηση της παράνομης δραστηριότητας πρόσφατα, και επισήμανε ότι η εταιρεία είχε απαγορευτεί από την εγγραφή νέων χρηστών της Ευρωπαϊκής Ένωσης τον Φεβρουάριο, λίγο μετά τη λήψη της άδειας Markets in Crypto Assets Regulation (MiCA). Επίσης αμφισβήτησε εάν το περιστατικό παρουσίαζε λόγους για ομαδική αγωγή κατά της Apple.

Σχετικό: Ο αντίχάκερ αποκαλύπτει μονάδα της DPRK που κέρδιζε 1 εκατομμύριο δολάρια τον μήνα εργαζόμενη σε θέσεις IT

Βασικές λεπτομέρειες, συμπεριλαμβανομένων των συνολικών απωλειών, του αριθμού των θυμάτων και της διαδρομής ξεπλύματος, παραμένουν βασισμένες στα ευρήματα του ZachXBT και δεν είχαν επιβεβαιωθεί από την Apple ή το KuCoin κατά τη δημοσίευση. Το Cointelegraph ζήτησε σχόλια από αμφότερες τις εταιρείες αλλά δεν είχε λάβει απάντηση μέχρι τη δημοσίευση.

Το Ledger προειδοποιεί τους χρήστες να μην εισάγουν ποτέ τη φράση ανάκτησης σε εφαρμογές

Ο επικεφαλής τεχνολογίας του Ledger, Charles Guillemet, δήλωσε σε ανακοίνωση προς το Cointelegraph ότι η εταιρεία δεν ζητά ποτέ από τους χρήστες τη φράση ανάκτησης 24 λέξεων και προειδοποίησε ότι τα επίσημα περιβάλλοντα λογισμικού δεν πρέπει να θεωρούνται εγγενώς ασφαλή.

"Δεν μπορείτε να εμπιστευτείτε το περιβάλλον λογισμικού γύρω σας – ούτε το πρόγραμμα περιήγησης, ούτε το κατάστημα εφαρμογών, ούτε την επιφάνεια εργασίας σας," δήλωσε ο Guillemet, προσθέτοντας ότι οι επιτιθέμενοι "δραστηριοποιούνται όπου υπάρχει ευκαιρία," συμπεριλαμβανομένων των επίσημων πλατφορμών διανομής. 

Σχετικό: Οι επιθέσεις στο Web3 κόστισαν 482 εκατομμύρια δολάρια στο πρώτο τρίμηνο καθώς το phishing οδηγεί την πλειοψηφία των απωλειών: Hacken

Το τελευταίο περιστατικό ακολουθεί μια μικρότερη αλλά παρόμοια περίπτωση που αναφέρθηκε τη Δευτέρα. Ο μουσικός Garrett Dutton, γνωστός και ως "G. Love," δήλωσε ότι έχασε περίπου 420.000 δολάρια σε BTC αφού κατέβασε μια κακόβουλη εφαρμογή που υποδυόταν το Ledger Live από το App Store της Apple και εισήγαγε τη φράση ανάκτησής του. Ο ZachXBT δήλωσε ότι τα κλεμμένα περιουσιακά στοιχεία στάλθηκαν σε διευθύνσεις κατάθεσης που συνδέονται με το KuCoin. 

Περιοδικό: Πώς η τεχνητή νοημοσύνη επιτάχυνε δραματικά τον κβαντικό κίνδυνο για το Bitcoin