Cuidado con los usuarios de iPhone: Kaspersky señala 26 aplicaciones falsas de billetera criptográfica que podrían agotar sus fondos
La empresa de ciberseguridad Kaspersky ha identificado 26 aplicaciones fraudulentas de billeteras de criptomonedas en la App Store de Apple que están diseñadas para robar los activos digitales de los usuarios.
El equipo de Threat Research de la compañía descubrió que las aplicaciones imitan carteras criptográficas populares, como MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken y Bitpie, copiando sus nombres y marcas visuales para parecer legítimas. Una vez abiertas, estas aplicaciones redirigen a los usuarios a páginas de phishing que se asemejan a la interfaz de la App Store y les solicitan que descarguen una segunda aplicación, que en realidad es una billetera troyanizada que puede drenar fondos en criptomonedas.
Cómo funciona la estafa
Kaspersky dijo que la campaña ha estado activa desde al menos el otoño de 2025 y, con “confianza moderada”, la vinculó con los actores de amenazas detrás de SparkKitty, una cepa de malware para iOS previamente identificada. Las versiones oficiales de muchas de estas aplicaciones de billetera no están disponibles en la App Store china de iOS; la mayoría de las aplicaciones de phishing detectadas se distribuyeron específicamente a usuarios de China, aunque la carga maliciosa en sí no incluye restricciones regionales. Básicamente, esto significa que los usuarios fuera de China también podrían verse afectados. Kaspersky confirmó que informó a Apple de todas las aplicaciones identificadas.
Según los hallazgos, las aplicaciones fraudulentas incluyen funciones básicas no relacionadas, como juegos, calculadoras o administradores de tareas, para crear una apariencia de legitimidad y pasar el escrutinio inicial. Después de la instalación, guían a los usuarios a través de un proceso que abre una página web falsa de la App Store y los anima a descargar lo que parece ser la aplicación de billetera deseada.
Este proceso de instalación funciona de manera similar a SparkKitty, utilizando las herramientas de desarrollo empresarial de Apple para la distribución de aplicaciones corporativas. Se solicita a los usuarios que instalen un perfil de desarrollador en su dispositivo, lo que les permite instalar aplicaciones desde fuera de la App Store. Los atacantes dependen de que los usuarios pasen por alto este paso, lo que permite la instalación de software malicioso.
Una vez instaladas, las aplicaciones de billetera troyanizadas están diseñadas para imitar el comportamiento de la billetera específica que representan. Se dirigen tanto a carteras frías como calientes.
El experto en malware móvil de Kaspersky, Sergey Puzan, afirmó que si bien las aplicaciones en sí mismas pueden no contener código dañino, sirven como puntos de entrada en una cadena de ataque más amplia que, en última instancia, conduce a la instalación de malware. El investigador advirtió además:
También te puede interesar:
Cómo un músico perdió 5,92 BTC en la aplicación Fake Ledger
Monedero contable falso expuesto con chips ocultos que roban frases iniciales y PIN
BlockDAG bajo fuego mientras el investigador alega una estafa de 300 millones de dólares
"Al pagar una tarifa y configurar una cuenta de desarrollador, los atacantes pueden apuntar a cualquier dispositivo iOS si el usuario sucumbe a la táctica de phishing. Los usuarios deben tener cuidado con los riesgos relacionados con la gestión de sus carteras criptográficas, incluso en dispositivos que consideran seguros, como los iPhones. Esperamos que se distribuyan más aplicaciones criptográficas troyanizadas con una táctica similar".
Dispositivo de libro mayor falsificado
El último informe llega días después de que un dispositivo Ledger Nano S Plus falsificado vendido a través de un mercado en línea fuera expuesto como parte de una sofisticada operación de phishing diseñada para robar credenciales de billetera criptográfica por parte de un investigador brasileño de ciberseguridad. El dispositivo, que se comercializó y tuvo un precio como un producto oficial, inicialmente parecía genuino pero falló en la verificación cuando se conectó a Ledger Live.
Al abrir el dispositivo, el investigador encontró componentes internos que no coincidían con el hardware legítimo, incluido un chip al que se le habían quitado las marcas y antenas WiFi y Bluetooth adicionales que no estaban presentes en las billeteras Ledger auténticas. Un examen más detallado del firmware reveló que tanto los códigos PIN como las frases iniciales se almacenaron en texto sin formato, junto con referencias a servidores externos, lo que indica que el dispositivo fue diseñado para capturar y transmitir datos confidenciales.
El investigador reconoció que este ataque no implica ningún fallo en la seguridad de Ledger, sino que utiliza dispositivos falsos, aplicaciones dañinas y trucos de phishing para atacar a los usuarios.