ZachXBT का कहना है कि Apple App Store की नकली Ledger ऐप ने एक सप्ताह में 50 से अधिक पीड़ितों से $9.5 मिलियन चुराए।

मुख्य निष्कर्ष:

• ZachXBT ने नकली Ledger Live Apple App Store ऐप से हुई $9.5 मिलियन की चोरी को कथित 150+ Kucoin जमा पतों से जोड़ा।
• संगीतकार जी. लव ने लगभग 6 बीटीसी खो दिया; 7-13 अप्रैल के बीच 3 सबसे बड़े पीड़ितों में से प्रत्येक ने 7 अंकों की राशि खोई।
• एप्पल ने अंततः ऐप स्टोर से नकली एप्लिकेशन को हटा दिया।

ज़ैकएक्सबीटी ने पाया कि एप्पल द्वारा हटाए जाने से पहले नकली लेजर लाइव आईओएस ऐप ने 9.5 मिलियन डॉलर निकाल लिए।

ZachXBT ने मंगलवार, 14 अप्रैल को X पर अपने निष्कर्ष पोस्ट किए, जिसमें बताया गया कि कैसे इस नकली ऐप ने 7 से 13 अप्रैल के बीच बिटकॉइन, EVM, ट्रॉन, सोलोना और रिपल नेटवर्क पर 50 से अधिक उपयोगकर्ताओं को निशाना बनाया। Apple ने उनकी पोस्ट से एक दिन पहले इस ऐप को हटा दिया था।

तीन सबसे बड़े पीड़ितों में से प्रत्येक ने सात अंकों की राशि गंवाई। एक उपयोगकर्ता ने 9 अप्रैल को USDT में 3.23 मिलियन डॉलर गंवाए। दूसरे पीड़ित ने 11 अप्रैल को USDC में 2.079 मिलियन डॉलर गंवाए। तीसरे ने 8 अप्रैल को 1.95 मिलियन डॉलर मूल्य की क्रिप्टो गंवाई, जिसमें 20.64 BTC, 211 stETH, और 70 ETH शामिल थे।

धोखाधड़ी का शिकार हुए अन्य लोगों में संगीतकार गैरेट डटन भी थे, जिन्हें पेशेवर रूप से जी. लव के नाम से जाना जाता है, जिन्होंने नकली ऐप में लगभग 6 बीटीसी (BTC) खो दिया। ZachXBT ने चोरी किए गए धन को स्थानांतरित करने के लिए उपयोग की जाने वाली केंद्रीकृत मिक्सिंग सेवा के रूप में AudiA6 की पहचान की।

उन्होंने AudiA6 को एक ऐसी सेवा के रूप में बताया जो अवैध धन को संसाधित करने के लिए उच्च शुल्क लेती है, और आरोप लगाया कि उस सेवा से जुड़े Kucoin जमा पतों के माध्यम से चोरी किए गए धन को स्थानांतरित किया गया। जांचकर्ता ने यह भी दावा किया कि लेजर-संबंधी चोरी से पहले के दिनों में एक अलग खतरे वाले अभिनेता ने बिटकॉइन डेपो घटना से 3.5 मिलियन डॉलर से अधिक की राशि 25 से अधिक Kucoin जमा पतों के माध्यम से लॉन्डर की थी।

एक्स पर, कुकोइन के आधिकारिक एक्स अकाउंट द्वारा एक यादृच्छिक ए और बी वोट पोस्ट किए जाने के बाद, ज़ैकएक्सबीटी ने अपने आरोपों के साथ जवाब देने का फैसला किया। ज़ैकएक्सबीटी ने पूछा, "सी) क्या आप समुदाय को समझाना चाहेंगे कि कुकोइन ने पिछले सप्ताह में 150+ कुकोइन जमा पतों के माध्यम से एक फर्जी लेजर ऐप से जुड़े $9.5M+ को लॉन्डर करने की अनुमति एक खतरे वाले अभिनेता को क्यों दी?" ऑनचेन जांचकर्ता ने आगे कहा:

"उससे कुछ दिन पहले एक अन्य खतरे वाले अभिनेता ने बिटकॉइन डेपो घटना से 25+ कुकोइन जमा पतों के माध्यम से $3.5M+ लॉन्डर किया था। आपने KYC का दुरुपयोग करके तत्काल एक्सचेंजों को सक्षम किया है और AudiA6 जैसी संस्थाओं को, जो अवैध अभिनेताओं के लिए एक केंद्रीकृत मिक्सर है, स्वतंत्र रूप से काम करने की अनुमति दी है। कुकोइन फिर से नियामकों द्वारा अपने व्यवसाय पर कार्रवाई के लायक है।"

जब कुकोइन के आधिकारिक एक्स अकाउंट ने इस विवाद पर प्रतिक्रिया देते हुए मामले की जांच के लिए यूआईडी और टिकट नंबर मांगा, तो ज़ैकएक्सबीटी ने एक शिशु के आईडी दस्तावेज़ की तस्वीर के साथ जवाब दिया, जिससे यह संकेत मिलता है कि एक्सचेंज की नो-योर-कस्टमर (केवाईसी) सत्यापन प्रक्रिया अपर्याप्त है।

प्रकाशन के समय तक कुकोइन ने उन विशिष्ट आरोपों पर सार्वजनिक रूप से प्रतिक्रिया नहीं दी थी। यूआईडी और टिकट नंबर की प्रतिक्रिया संभवतः एक ग्राहक सेवा एजेंट की ओर से थी।

ज़ैकएक्सबीटी ने कहा कि यह स्थिति एप्पल के खिलाफ धोखाधड़ी वाले ऐप को होस्ट करने के लिए एक सामूहिक मुकदमे का आधार प्रदान कर सकती है। ज़ैकएक्सबीटी द्वारा प्रकाशित चोरी के पते बिटकॉइन, एथेरियम, ट्रॉन, सोलाना और रिपल सहित कई ब्लॉकचेन में फैले हुए हैं, जो प्रत्येक पीड़ित से जुड़े विशिष्ट वॉलेट की पहचान करते हैं।

एप्पल के ऐप स्टोर पर नकली लेजर लाइव ऐप की मौजूदगी ने इस बारे में व्यापक सवाल खड़े किए हैं कि दुर्भावनापूर्ण सॉफ्टवेयर एप्पल की समीक्षा प्रक्रिया से कैसे पार हो जाता है और हटाए जाने से पहले यह कितनी देर तक काम कर सकता है।

Bitcoin.com न्यूज़ के साथ साझा किए गए एक नोट में, लेजर के सीटीओ चार्ल्स गिलिमेट ने इस बात पर ज़ोर दिया कि उनकी फर्म कभी भी सीड फ़्रेज़ नहीं मांगेगी। गिलिमेट ने समझाया, "लेजर कभी भी आपके 24 शब्दों को नहीं मांगेगा। अगर कोई, या कोई ऐप, आपके 24 शब्दों को मांग रहा है, तो मान लें कि कुछ गलत है।"

"लेजर लगातार समुदाय को इसके बारे में याद दिलाता है। आप अपने आस-पास के सॉफ्टवेयर वातावरण पर भरोसा नहीं कर सकते – न तो अपने ब्राउज़र पर, न ही अपने ऐप स्टोर पर, न ही अपने डेस्कटॉप पर। हमलावर जहाँ भी अवसर होता है, वहाँ काम करते हैं, और इसमें आधिकारिक वितरण प्लेटफ़ॉर्म भी शामिल हैं। एकमात्र सुरक्षा जो कारगर है, वह है अपनी निजी कुंजियों को एक समर्पित हार्डवेयर डिवाइस पर रखना जिसमें एक सुरक्षित स्क्रीन हो, जैसे कि लेजर साइनर, और किसी भी ऐप या वेबसाइट में कभी भी अपना सीड वाक्यांश न डालना। आपके 24 शब्द आपका वॉलेट हैं," हार्डवेयर वॉलेट फर्म के सीटीओ ने आगे कहा।