Фальшивий додаток Ledger обійшов Apple, коштував музиканту G. Love майже 6 BTC

Музикант G. Love втратив 5,92 BTC через фальшивий застосунок Ledger в Apple Mac App Store. ZachXBT відстежив викрадені кошти до депозитних адрес KuCoin.

Garrett Dutton, відомий професійно як G. Love, втратив майже шість Bitcoin за лічені секунди після того, як фальшивий застосунок Ledger проскочив через Apple Mac App Store. Застосунок виглядав легітимно. Але це було не так.

Пишучи в X, G. Love розповів, що переносив свій апаратний гаманець Ledger на новий комп'ютер, коли завантажив те, що здавалося офіційним застосунком. BTC зникли миттєво. Він описав цю втрату як свій пенсійний фонд, накопичений за десять років зберігання.

"Сьогодні у мене був дуже важкий день. Я втратив свій пенсійний фонд через злом/шахрайство, коли переносив свій @Ledger на новий комп'ютер і випадково завантажив шкідливий застосунок ledger з магазину @Apple," — написав він. "Всі мої BTC зникли миттєво."

Apple схвалила шахрайство

Фальшивий застосунок пройшов процес перевірки Apple. Ця частина досі не пояснена.Love опублікував хеш транзакції в X, щоб інші могли перевірити крадіжку в блокчейні. Хеш TX — 8753c7d24a28f677089aefb09628eb9b191e843ae965f55ca8ae87540561feaf — підтвердив зняття коштів. Він сказав, що 5,9 BTC — це все, що у нього було. "Я працював над цим, бляяяя, будьте обережні," — написав він.

В окремому дописі він поділився своєю BTC адресою, запитуючи спільноту, чи хоче хтось допомогти йому відновитися. "Це або жалюгідно, або смішно, і я відчуваю обидва варіанти," — написав він.

ZachXBT відстежив кожен сатоші

Блокчейн-дослідник ZachXBT втрутився. Він відстежив усі 5,92 BTC через дев'ять окремих транзакцій, всі проходили через депозитні адреси KuCoin.

"Привіт, я відстежив ваші викрадені 5,92 BTC, і все було відмито через депозитні адреси @kucoincom," — написав ZachXBT в X. Він опублікував усі дев'ять хешів транзакцій. Гроші рухалися швидко. До того часу, як хтось помітив, вони вже були розділені між кількома адресами та оброблені через біржу.

Власна довідкова документація Ledger попереджає, що цей тип атак відбувається вже деякий час. Згідно з офіційною сторінкою попередження про шахрайство Ledger, зловмисники створюють переконливі копії Ledger Wallet і змушують користувачів вводити свою 24-слівну секретну фразу відновлення. Ця фраза, коли вводиться будь-де за межами фізичного пристрою Ledger, надає зловмиснику повний доступ до гаманця.

Інструкція Ledger є прямою: фраза відновлення ніколи не повинна вводитися на жодному комп'ютері, мобільному застосунку або онлайн-платформі. Відновлення відбувається лише на самому апаратному пристрої під час налаштування.

Проблема App Store, яку ніхто не вирішив

Це не перший раз, коли фальшивий криптозастосунок пройшов процес перевірки Apple. Документація Ledger спеціально відзначає фальшиві застосунки Chrome як відомий вектор атак, зазначаючи, що офіційні завантаження повинні здійснюватися лише безпосередньо з веб-сайту Ledger.

Mac App Store мав бути іншим. Перевірка мала виявити це. Але не виявила. Випадок Love — це більше, ніж особиста втрата. Сума, 5,92 BTC, коштувала приблизно 420 000 доларів на момент крадіжки. Десятиліття накопичень, злито за лічені секунди застосунком, який схвалила велика платформа.

Відстеження ZachXBT вказує на те, що викрадені кошти знаходяться на KuCoin. Чи буде якесь повернення активів, залишається неясним.

Допис "Фальшивий застосунок Ledger проскочив повз Apple, коштував музиканту G. Love майже 6 BTC" вперше з'явився на Live Bitcoin News.