ZachXBT dice che un'app falsa di Ledger presente sull'App Store di Apple ha rubato 9,5 milioni di dollari a più di 50 vittime in una sola settimana

• ZachXBT ha collegato il furto di 9,5 milioni di dollari da una falsa app Ledger Live sull'App Store di Apple a oltre 150 presunti indirizzi di deposito Kucoin.
• Il musicista G. Love ha perso quasi 6 BTC; le tre vittime più colpite hanno perso ciascuna cifre a sette zeri tra il 7 e il 13 aprile.
• Apple ha finito per rimuovere l'applicazione fasulla dall'App Store.

Una falsa app Ledger Live per iOS ha sottratto 9,5 milioni di dollari prima che Apple la rimuovesse, secondo quanto scoperto da ZachXBT

ZachXBT ha pubblicato le sue scoperte martedì 14 aprile su X, spiegando come l'app falsa abbia danneggiato più di 50 utenti tra il 7 e il 13 aprile sulle reti Bitcoin, EVM, Tron, Solana e Ripple. Apple ha rimosso l'app il giorno prima del suo post.

Le tre vittime più colpite hanno perso ciascuna cifre a sette zeri. Un utente ha perso 3,23 milioni di dollari in USDT il 9 aprile. Una seconda vittima ha perso 2,079 milioni di dollari in USDC l'11 aprile. Una terza ha perso 1,95 milioni di dollari in criptovalute l'8 aprile, inclusi 20,64 BTC, 211 stETH e 70 ETH.

Un'altra vittima tra coloro che sono stati truffati è stato il musicista Garrett Dutton, conosciuto professionalmente come G. Love, che ha perso quasi 6 BTC a causa dell'app fasulla. ZachXBT ha identificato AudiA6 come il servizio di mixing centralizzato utilizzato per spostare i fondi rubati.

Ha descritto AudiA6 come un servizio che applica commissioni elevate per elaborare denaro illecito e ha affermato che i fondi rubati sono stati trasferiti tramite indirizzi di deposito Kucoin collegati a tale servizio. L'investigatore ha inoltre sostenuto che un altro autore della minaccia abbia riciclato 3,5 milioni di dollari provenienti dall'incidente di Bitcoin Depot attraverso più di 25 indirizzi di deposito Kucoin nei giorni precedenti al furto relativo a Ledger.

Su X, dopo che l'account ufficiale di Kucoin su X ha pubblicato un post casuale con un sondaggio A & B, ZachXBT ha deciso di rispondere con le sue accuse. "C) Volete spiegare alla comunità perché Kucoin ha permesso a un attore malintenzionato di riciclare oltre 9,5 milioni di dollari legati a una falsa app Ledger tramite oltre 150 indirizzi di deposito Kucoin nell'ultima settimana?", ha chiesto ZachXBT. L'investigatore on-chain ha aggiunto:

"Pochi giorni prima, un altro autore di minacce ha riciclato oltre 3,5 milioni di dollari dall'incidente di Bitcoin Depot tramite oltre 25 indirizzi di deposito di Kucoin. Avete consentito scambi istantanei abusando del KYC e di entità come AudiA6, un mixer centralizzato che permette agli autori di attività illecite di operare liberamente. Kucoin merita che le autorità di regolamentazione si occupino nuovamente della sua attività."

Quando l'account X ufficiale di Kucoin ha risposto alla polemica chiedendo un UID e un numero di ticket per esaminare la questione, ZachXBT ha risposto con una foto del documento d'identità di un neonato, sottintendendo che il processo di verifica "know-your-customer" (KYC) dell'exchange è inadeguato.

Al momento della pubblicazione, Kucoin non aveva risposto pubblicamente a tali accuse specifiche. La risposta relativa all'UID e al numero di ticket proveniva probabilmente da un addetto al servizio clienti. ZachXBT ha affermato che la situazione potrebbe fornire i presupposti per una causa collettiva contro Apple per aver ospitato l'app fraudolenta. Gli indirizzi di furto pubblicati da ZachXBT coprono diverse blockchain, tra cui Bitcoin, Ethereum, Tron, Solana e Ripple, identificando i portafogli specifici collegati a ciascuna vittima.

La presenza della falsa app Ledger Live sull'App Store di Apple ha sollevato questioni più ampie su come il software dannoso superi il processo di revisione di Apple e per quanto tempo possa operare prima di essere rimosso.

In una nota condivisa con Bitcoin.com News, il CTO di Ledger Charles Guillemet ha sottolineato che la sua azienda non chiederà mai una frase seed. “Ledger non chiederà mai le tue 24 parole. Se qualcuno, o qualsiasi app, ti chiede le tue 24 parole, dai per scontato che ci sia qualcosa che non va”, ha spiegato Guillemet. “Ledger lo ricorda costantemente alla comunità. Non puoi fidarti dell'ambiente software che ti circonda: né del tuo browser, né del tuo app store, né del tuo desktop. Gli hacker agiscono ovunque ci sia un'opportunità, e questo include le piattaforme di distribuzione ufficiali. L'unica protezione efficace è conservare le tue chiavi private su un dispositivo hardware dedicato con uno schermo sicuro, come un Ledger Signer, e non inserire mai la tua frase di seed in nessuna app o sito web. Le tue 24 parole sono il tuo portafoglio", ha aggiunto il CTO dell'azienda produttrice di portafogli hardware.