Falsche Ledger-App im Mac App Store entwendet 9,5 Millionen US-Dollar an Kryptowährung
Eine gefälschte Version der Ledger Live-App hat über 9,5 Millionen US-Dollar an Kryptowährung aus mehr als 50 Accounts gestohlen – darunter auch die eines Musikers namens G. Love –, bevor Apple sie aus dem Mac App Store entfernt hat. Wenn Sie jemals einem App vertraut haben, nur weil sie im offiziellen Store steht, zeigt diese Geschichte, dass selbst das nicht immer sicher ist.
Wie eine falsche App echte Nutzer täuschte
Ledger ist ein bekannter Hersteller von physischen "Hardware-Wallets" – kleinen Geräten, die digitale Vermögenswerte wie Bitcoin sicher offline speichern und vor Hackern schützen. Um diese Vermögenswerte zu verwalten, nutzen Nutzer oft die offizielle Software Ledger Live. Doch letzte Woche tauchte eine überzeugende Nachbildung dieser App im Mac App Store von Apple auf.
Die gefälschte App sah fast identisch aus. Sobald installiert, bat sie Nutzer, ihr Ledger-Gerät anzuschließen und ihren Wiederherstellungssatz einzugeben – eine Folge aus 12 bis 24 Wörtern, die wie ein Master-Schlüssel für alle Kryptowerte fungiert. Wer diesen Satz einer beliebigen App oder Website preisgibt, übergibt sofort uneingeschränkte Kontrolle über sein gesamtes Guthaben.
Stellen Sie sich Ihren Wiederherstellungssatz wie das Passwort für einen Tresor vor. Wenn jemand Sie dazu bringt, es in eine gefälschte Bank-App einzugeben, kann er Ihren Tresor leeren – selbst wenn die App echt aussieht.
Opfer verloren alles innerhalb von Minuten
Zu den Betroffenen gehörte Garrett Dutton, besser bekannt als G. Love, der etwa 447.000 US-Dollar an Bitcoin verlor. Er hatte gerade einen neuen Computer gekauft und ging davon aus, dass der App Store nur vertrauenswürdige Anwendungen enthält. Innerhalb von Sekunden war sein gesamter Krypto-Vorrat verschwunden.
Der Blockchain-Untersucher ZachXBT verfolgte die gestohlenen Mittel und stellte fest:
- Insgesamt wurden über 9,5 Millionen US-Dollar an Bitcoin, Solana, XRP und USDT gestohlen.
- Ein einzelner Opfer verlor allein 3,27 Millionen US-Dollar an Stabilcoins.
- Mindestens drei Personen verloren jeweils mehr als 1,95 Millionen US-Dollar.
Die Täter transferierten das Geld schnell über mehr als 150 Deposit-Adressen, die mit KuCoin, einer Kryptobörse, verknüpft waren, unter Verwendung eines Dienstes namens AudiA6, der gestohlene Mittel mit anderen Vermögenswerten mischt, um ihre Herkunft zu verschleiern – ähnlich wie jemand Bargeld durch mehrere Unternehmen laufen lässt, um es zu waschen.
Warum wurde die App überhaupt im App Store zugelassen?
Apple’s App Store hat strenge Prüfregeln, doch Betrüger werden immer geschickter. Die gefälschte Ledger-App nutzte ähnliche Markenidentität, korrekte Rechtschreibung und nachahmte reale Funktionen so gut, dass sie die ersten Überprüfungen passierte. Sie blieb fast eine Woche lang online – vom 7. April bis zum 13. April –, bevor sie entfernt wurde.
Das ist nicht das erste Mal, dass Ledger-Nutzer ins Visier geraten. Das Unternehmen warnt davor, dass Phishing-Angriffe oft über gefälschte Apps, E-Mails, Anrufe oder sogar Briefe erfolgen, die offiziell wirken. Letztes Jahr konnten US-Behörden 600.000 US-Dollar an Kryptowährung zurückholen, die über gefälschte Postsendungen gestohlen worden waren.
Was bedeutet das für normale Nutzer?
Sie müssen keine Kryptowährung besitzen, um daraus zu lernen: Vertrauen ist nicht automatisch gegeben, nur weil etwas von einer großen Plattform wie Apple stammt. Überprüfen Sie immer URLs, Entwickler und geben Sie niemals Ihren Wiederherstellungssatz in irgendeine Software ein – echte Ledger-Apps fragen ihn niemals ab.
Wenn Sie eine Hardware-Wallet nutzen:
- Laden Sie Software ausschließlich von der offiziellen Webseite (ledger.com) herunter, nicht aus App-Stores.
- Buchmarken Sie die echte Seite, um Tippfehler zu vermeiden.
- Behandeln Sie Ihren Wiederherstellungssatz wie ein Passwort, das Sie niemals teilen – nicht einmal mit Support-Teams.
Wichtige Erkenntnisse
- Eine gefälschte Ledger Live-App im Mac App Store stahl 9,5 Millionen US-Dollar an Kryptowährung von über 50 Nutzern.
- Zu den Opfern gehörten prominente Persönlichkeiten wie der Musiker G. Love, der fast eine halbe Million Dollar verlor.
- Der Betrug funktionierte, indem Nutzer dazu verleitet wurden, ihren privaten Wiederherstellungssatz einzugeben – den ultimativen Schlüssel zu ihren digitalen Vermögenswerten.
- Die gestohlenen Mittel wurden schnell über KuCoin mittels Mischdiensten gewaschen, um die Spur zu verwischen.
- Selbst vertrauenswürdige App-Stores sind nicht immun gegen anspruchsvolle Fakes; Vorsicht ist essenziell.
— Editorial Team
