关键要点:
- ZachXBT 将一个伪造的 Ledger Live Apple App Store 应用程序盗取的 950 万美元与涉嫌超过 150 个 Kucoin 存款地址联系起来。
- 音乐家 G. Love 损失了近 6 BTC;三名最大受害者在 4 月 7 日至 13 日期间各损失了 7 位数。
- Apple 最终从 App Store 中移除了该虚假应用程序。
假冒 Ledger Live iOS 应用在 Apple 下架前盗取了 950 万美元,ZachXBT 发现
ZachXBT 于 4 月 14 日星期二在 X 上发布了他的调查结果,详细说明了该假冒应用程序如何在 4 月 7 日至 13 日期间,通过 Bitcoin、EVM、Tron、Solana 和 Ripple 网络,使超过 50 名用户受害。Apple 在他发布帖子的前一天移除了该应用程序。
三名最大的受害者各损失了 7 位数。一名用户在 4 月 9 日损失了 323 万美元的 USDT。第二名受害者在 4 月 11 日损失了 207.9 万美元的 USDC。第三名在 4 月 8 日损失了价值 195 万美元的加密货币,包括 20.64 BTC、211 stETH 和 70 ETH。
受骗者中的另一名受害者是音乐家 Garrett Dutton,职业名为 G. Love,他因该假冒应用程序损失了近 6 BTC。ZachXBT 确认 AudiA6 是用于转移被盗资金的中心化混币服务。
他描述 AudiA6 是一项收取高额费用来处理非法资金的服务,并声称被盗资金通过与该服务相关的 Kucoin 存款地址转移。该调查员还声称,在与 Ledger 相关的盗窃案发生前几天,另一名威胁行为者通过超过 25 个 Kucoin 存款地址洗白了来自 Bitcoin Depot 事件的 350 万美元。
在 X 上,Kucoin 官方 X 账号发布了一个随机的 A & B 投票帖子后,ZachXBT 决定用他的指控作出回应。"C) 想向社区解释一下为什么 Kucoin 允许威胁行为者在过去一周内通过 150 多个 Kucoin 存款地址洗白与假冒 Ledger 应用程序相关的 950 万美元以上?" ZachXBT 问道。这位链上调查员补充说:
当 Kucoin 官方 X 账号要求提供 UID 和工单号码以调查此事来回应争议时,ZachXBT 回复了一张婴儿身份证件的照片,暗示该交易所的认识你的客户(KYC)验证流程不足。
截至发布时,Kucoin 尚未公开回应这些具体指控。UID 和工单号码的回应可能来自客服人员。
ZachXBT 表示,这种情况可能为针对 Apple 托管欺诈应用程序提起集体诉讼提供理由。ZachXBT 公布的盗窃地址跨越多个区块链,包括 Bitcoin、Ethereum、Tron、Solana 和 Ripple,确认了与每个受害者相关的特定钱包。
假冒 Ledger Live 应用程序在 Apple App Store 上的存在引发了更广泛的问题,即恶意软件如何通过 Apple 的审核流程,以及它在被移除之前可以运行多长时间。
在与 Bitcoin.com News 分享的一份说明中,Ledger 的首席技术官 Charles Guillemet 强调,他的公司永远不会要求提供助记词。"Ledger 永远不会要求你提供 24 个助记词。如果有任何人或任何应用程序要求你提供 24 个助记词,请认为有问题," Guillemet 解释说。
"Ledger 一直向社区提醒这一点。你不能信任周围的软件环境——不是你的浏览器,不是你的应用商店,不是你的桌面。攻击者在任何存在机会的地方活动,这包括官方分发平台。唯一有效的保护是将你的私钥保存在带有安全屏幕的专用硬件设备上,如 Ledger 签名器,并且永远不要将你的助记词输入任何应用程序或网站。你的 24 个助记词就是你的钱包," 该硬件钱包公司的首席技术官补充说。
来源: https://news.bitcoin.com/zachxbt-says-apple-app-store-fake-ledger-app-stole-9-5m-from-50-victims-in-one-week/
