За словами ZachXBT, підроблений додаток Ledger в Apple App Store викрав 9,5 млн доларів у понад 50 жертв за один тиждень

Основні висновки:

• ZachXBT пов'язав крадіжку 9,5 млн доларів з підробленого додатка Ledger Live в Apple App Store з понад 150 адресами для депозитів Kucoin.
• Музикант G. Love втратив майже 6 BTC; 3 найбільші жертви втратили по 7 цифр кожна в період з 7 по 13 квітня.
• Apple все-таки видалила фальшивий додаток з App Store.

Підроблений додаток Ledger Live для iOS викрав 9,5 млн доларів, перш ніж Apple його видалив, з'ясував ZachXBT

ZachXBT опублікував свої висновки у вівторок, 14 квітня, на X, розповівши, як підроблений додаток обдурив понад 50 користувачів у період з 7 по 13 квітня в мережах Bitcoin, EVM, Tron, Solana та Ripple. Apple видалила додаток за день до його публікації.

Троє найбільших жертв втратили по сім цифр. Один користувач втратив 3,23 млн доларів у USDT 9 квітня. Друга жертва втратила 2,079 млн доларів у USDC 11 квітня. Третя втратила криптовалюту на суму 1,95 млн доларів 8 квітня, включаючи 20,64 BTC, 211 stETH та 70 ETH.

Ще однією жертвою серед тих, кого ошукали, став музикант Гаррет Даттон, відомий під псевдонімом G. Love, який втратив майже 6 BTC через фейковий додаток. ZachXBT визначив AudiA6 як централізований сервіс міксування, який використовувався для переміщення вкрадених коштів.

Він описав AudiA6 як сервіс, що стягує високі комісії за обробку незаконних коштів, і стверджував, що вкрадені кошти переказувалися через депозитні адреси Kucoin, пов'язані з цим сервісом. Дослідник також заявив, що інший зловмисник відмив 3,5 млн доларів, отриманих в результаті інциденту з Bitcoin Depot, через понад 25 депозитних адрес Kucoin за кілька днів до крадіжки, пов'язаної з Ledger.

На X, після того як офіційний акаунт Kucoin опублікував випадковий пост з голосуванням A & B, ZachXBT вирішив відповісти своїми звинуваченнями. «C) Хочете пояснити спільноті, чому Kucoin дозволив зловмиснику відмити понад 9,5 млн доларів, пов'язаних з підробленим додатком Ledger, через понад 150 депозитних адрес Kucoin протягом минулого тижня?» — запитав ZachXBT. Дослідник ончейн-транзакцій додав:

«За кілька днів до цього інший зловмисник відмив понад 3,5 млн доларів з інциденту з Bitcoin Depot через понад 25 депозитних адрес Kucoin. Ви дозволили миттєві обміни, зловживаючи KYC, та дозволили таким організаціям, як AudiA6, централізованому міксеру для незаконних зловмисників, вільно діяти. Kucoin заслуговує на те, щоб регулятори знову взялися за його діяльність».

Коли офіційний акаунт Kucoin у X відреагував на суперечку, попросивши UID та номер квитка для розслідування справи, ZachXBT відповів фотографією документа, що посвідчує особу немовляти, натякаючи на те, що процес верифікації «знай свого клієнта» (KYC) біржі є недостатнім.

На момент публікації Kucoin не відповів публічно на ці конкретні звинувачення. Відповідь щодо UID та номера квитка, ймовірно, надійшла від співробітника служби підтримки клієнтів.

ZachXBT зазначив, що ця ситуація може стати підставою для колективного позову проти Apple за розміщення шахрайського додатка. Адреси, з яких відбувалися крадіжки, опубліковані ZachXBT, охоплюють кілька блокчейнів, зокрема Bitcoin, Ethereum, Tron, Solana та Ripple, і дозволяють ідентифікувати конкретні гаманці, пов'язані з кожною жертвою.

Наявність підробленого додатка Ledger Live в App Store від Apple викликала більш широкі питання щодо того, як шкідливе програмне забезпечення проходить процес перевірки Apple і як довго воно може працювати до видалення.

У повідомленні, надісланому Bitcoin.com News, технічний директор Ledger Чарльз Гільмет підкреслив, що його компанія ніколи не запитуватиме фразу-насіння. «Ledger ніколи не запитуватиме ваших 24 слів. Якщо хтось або будь-який додаток запитує ваші 24 слова, вважайте, що щось не так», — пояснив Гільмет.

«Ledger постійно нагадує про це спільноті. Ви не можете довіряти програмному середовищу навколо вас — ні браузеру, ні магазину додатків, ні робочому столу. Зловмисники діють скрізь, де є можливість, і це стосується навіть офіційних платформ розповсюдження. Єдиний надійний захист — це зберігання ваших приватних ключів на спеціальному апаратному пристрої з захищеним екраном, такому як Ledger Signer, і ніколи не вводити вашу фразу-насіння в будь-який додаток чи веб-сайт. Ваші 24 слова — це ваш гаманець», — додав технічний директор компанії, що виробляє апаратні гаманці.