Podvržené aplikace Ledger v Mac App Store ukradla 9,5 milionu dolarů kryptoměny
Podvržená verze aplikace Ledger Live tajně ukradla více než 9,5 milionu dolarů kryptoměny od přes 50 lidí — včetně hudebníka G. Love — dokud Apple její odstranění z Mac App Store. Pokud jste někdy důvěřovali aplikaci pouze proto, že je v oficiálním obchodě, tato příběh ukazuje, proč i to není vždy bezpečné.
Jak podvržená aplikace oklamala skutečné uživatele
Ledger je známá společnost, která vyrábí fyzické "hardwarové peněženky" — malé zařízení, která bezpečně uchovávají digitální aktiva, jako jsou bitcoin, offline a mimo dosah hackerů. Pro správu těchto aktivit si uživatelé často stahují oficiální software Ledger Live. Avšak minulý týden se v Apple App Store objevila přesvědčivá podvržená verze této aplikace.
Podvržená aplikace vypadala téměř identicky jako originál. Po instalaci požadovala od uživatelů připojení jejich zařízení Ledger a zadání fráze pro obnovení — řetězce slov (12–24), který funguje jako hlavní klíč ke všem vašim kryptoaktivům. Sdílení této fráze s jakoukoliv aplikací nebo webovou stránkou znamená okamžitou předání plného ovládání nad vašimi prostředky.
Představte si svou frázi pro obnovení jako kombinaci do domácího trezoru. Pokud vám někdo přesvědčí, aby jste ji zadali do podvržené bankovní aplikace, může vyprázdnit váš trezor — i když aplikace vypadá naprosto legitimně.
Oběti ztratily všechno během minut
Mezi postiženými byl Garrett Dutton, známý jako G. Love, který ztratil přibližně 447 000 dolarů v bitcoinech. Právě přešel na nový počítač a věřil, že App Store obsahuje pouze ověřené aplikace, takže si stáhl to, co považoval za Ledger Live. Během několika sekund zmizel celý jeho kryptosčít.
Blockchainový výzkumník ZachXBT sledoval přesunuté prostředky a zjistil:
- Celková suma ukradených prostředků přesahuje 9,5 milionu dolarů v bitcoinu, Solaně, XRP a USDT.
- Jedna z obětí ztratila 3,27 milionu dolarů ve stabilních mincích.
- Alespoň tři osoby ztratily více než 1,95 milionu dolarů každá.
Zločinci rychle přesunuli peníze přes více než 150 depozitních adres spojených s burzou KuCoin pomocí služby AudiA6, která smíchá ukradené prostředky s jinými, aby zakryla jejich původ — podobně jako by někdo peníze mydlil přes několik firem.
Proč byla tato aplikace povolena v App Store?
App Store má od Apple přísné pravidla kontroly, ale podvodníci se stávají stále lepšími v obejmutí systému. Podvržená aplikace používala podobné značení, správné psaní a dostatečně přesně napodobovala reálné funkce, aby projela primární kontrolou. Zůstala na prodeji téměř týden — od 7. do 13. dubna — než byla odstraněna.
Toto není poprvé, kdy uživatelé Ledger padají obětí. Společnost varuje, že útoky typu phishingu často přicházejí prostřednictvím podvržených aplikací, e-mailů, hovorů nebo dokonce poštovních zásilek napodobujících oficiální dokumenty. V minulém roce americké úřady vrátily 600 000 dolarů kryptoměny ukradených prostřednictvím podvržených e-mailů od Ledger.
Co to znamená pro běžné lidi?
Nemusíte mít kryptoměnu, abyste z této historie vybrali učení: důvěra není zaručena jen proto, že něco pochází z velké platformy, jako je Apple. Vždy ověřujte URL, vydavatele aplikace a nikdy, za žádných okolností nevkládejte svou frázi pro obnovení do žádného softwaru — skutečné aplikace Ledger vám nikdy nepožádají o ni.
Pokud používáte hardwarovou peněženku:
- Stahujte software pouze z oficiálního webu společnosti (ledger.com), nikoli z obchodů s aplikacemi.
- Uložte si oficiální web do záložek, abyste zabránili opakování chyb.
- Považujte svou frázi pro obnovení za heslo, které nikdy nebudete sdílet — ani se servisní podporou.
Klíčové závěry
- Podvržená aplikace Ledger Live v Mac App Store ukradla 9,5 milionu dolarů kryptoměny od více než 50 uživatelů.
- Mezi oběťmi byli veřejní osobnosti, jako je hudebník G. Love, který ztratil téměř polovinu milionu dolarů.
- Podvod fungoval tím, že uživatele oklamal, aby zadali svou osobní frázi pro obnovení — hlavní klíč ke svým digitálním aktivům.
- Ukradené prostředky rychle odmyly prostřednictvím KuCoin pomocí služeb pro smíchání, aby zakryly stopy.
- I ověřené obchody s aplikacemi nejsou chráněny proti pokročilým podvržením; bdělost je nezbytná.
— Editorial Team
