ZachXBT afirmă că o aplicație falsă de tip „Ledger” din App Store-ul Apple a furat 9,5 milioane de dolari de la peste 50 de victime într-o singură săptămână

Concluzii cheie:

• ZachXBT a făcut legătura între furtul de 9,5 milioane de dolari dintr-o aplicație falsă Ledger Live din App Store-ul Apple și peste 150 de adrese de depozit Kucoin.
• Muzicianul G. Love a pierdut aproape 6 BTC; cele mai mari trei victime au pierdut fiecare sume de șapte cifre între 7 și 13 aprilie.
• Apple a eliminat în cele din urmă aplicația falsă din App Store.

Aplicația falsă Ledger Live pentru iOS a sustras 9,5 milioane de dolari înainte ca Apple să o retragă, a descoperit ZachXBT

ZachXBT și-a publicat concluziile marți, 14 aprilie, pe X, explicând modul în care aplicația falsă a victimizat peste 50 de utilizatori între 7 și 13 aprilie pe rețelele Bitcoin, EVM, Tron, Solana și Ripple. Apple a eliminat aplicația cu o zi înainte de postarea sa.

Cele trei victime principale au pierdut fiecare sume de șapte cifre. Un utilizator a pierdut 3,23 milioane de dolari în USDT pe 9 aprilie. O a doua victimă a pierdut 2,079 milioane de dolari în USDC pe 11 aprilie. O a treia a pierdut criptomonede în valoare de 1,95 milioane de dolari pe 8 aprilie, inclusiv 20,64 BTC, 211 stETH și 70 ETH.

O altă victimă dintre cei înșelați a fost muzicianul Garrett Dutton, cunoscut profesional sub numele de G. Love, care a pierdut aproape 6 BTC din cauza aplicației false. ZachXBT a identificat AudiA6 ca fiind serviciul centralizat de amestecare folosit pentru a transfera fondurile furate.

El a descris AudiA6 ca un serviciu care percepe comisioane mari pentru procesarea banilor iliciti si a sustinut ca fondurile furate au fost transferate prin adresele de depozit Kucoin conectate la acel serviciu. Anchetatorul a afirmat, de asemenea, ca un alt actor de amenintare a spalat 3,5 milioane de dolari proveniti din incidentul Bitcoin Depot prin mai mult de 25 de adrese de depozit Kucoin in zilele premergatoare furtului legat de Ledger.

Pe X, după ce contul oficial X al Kucoin a postat un mesaj aleatoriu de vot A & B, ZachXBT a decis să răspundă cu acuzațiile sale. „C) Vrei să explici comunității de ce Kucoin a permis unui actor de amenințare să spele peste 9,5 milioane de dolari legați de o aplicație Ledger falsă prin peste 150 de adrese de depozit Kucoin în ultima săptămână?”, a întrebat ZachXBT. Investigatorul on-chain a adăugat:

„Cu câteva zile înainte, un alt actor rău intenționat a spălat peste 3,5 milioane de dolari din incidentul Bitcoin Depot prin peste 25 de adrese de depozit Kucoin. Ați permis schimburi instantanee care abuzează de KYC și entități precum AudiA6, un mixer centralizat pentru ca actorii iliciti să opereze liber. Kucoin merită ca autoritățile de reglementare să îi vizeze din nou activitatea.”

Când contul oficial X al Kucoin a răspuns la controversă solicitând un UID și un număr de tichet pentru a analiza problema, ZachXBT a răspuns cu o fotografie a documentului de identitate al unui copil, sugerând că procesul de verificare „cunoaște-ți clientul” (KYC) al platformei de schimb este inadecvat.

La momentul publicării, Kucoin nu a răspuns public la aceste acuzații specifice. Răspunsul privind UID-ul și numărul de bilet a venit probabil de la un agent al serviciului clienți.

ZachXBT a afirmat că situația ar putea constitui un temei pentru un proces colectiv împotriva Apple pentru găzduirea aplicației frauduloase. Adresele de furt publicate de ZachXBT acoperă mai multe blockchain-uri, inclusiv Bitcoin, Ethereum, Tron, Solana și Ripple, identificând portofele specifice conectate la fiecare victimă.

Prezența aplicației false Ledger Live în App Store-ul Apple a ridicat întrebări mai ample cu privire la modul în care software-ul rău intenționat trece de procesul de verificare al Apple și cât timp poate funcționa înainte de a fi eliminat.

Într-o notă împărtășită cu Bitcoin.com News, directorul tehnic al Ledger, Charles Guillemet, a subliniat că firma sa nu va cere niciodată o frază de inițializare. „Ledger nu vă va cere niciodată cele 24 de cuvinte. Dacă cineva, sau orice aplicație, vă cere cele 24 de cuvinte, presupuneți că ceva nu este în regulă”, a explicat Guillemet.

„Ledger reamintește în mod constant comunității acest lucru. Nu puteți avea încredere în mediul software din jurul vostru – nici în browserul vostru, nici în magazinul de aplicații, nici în desktopul vostru. Atacatorii acționează oriunde există o oportunitate, iar asta include și platformele oficiale de distribuție. Singura protecție eficientă este păstrarea cheilor private pe un dispozitiv hardware dedicat, cu un ecran securizat, cum ar fi un Ledger Signer, și să nu introduceți niciodată fraza de inițializare în nicio aplicație sau site web. Cele 24 de cuvinte sunt portofelul vostru”, a adăugat directorul tehnic al companiei producătoare de portofele hardware.