L'application Fake Ledger sur l'App Store d'Apple aurait drainé 9,5 millions de dollars à 50 victimes

Une fausse application Ledger Live sur l'App Store d'Apple a été liée à un vol multi-blockchain le 14 avril. Entre le 7 et le 13 avril, des attaquants ont usurpé Ledger Live, une application permettant aux utilisateurs de portefeuille matériel Ledger de gérer leurs actifs numériques. Cette usurpation d'identité a coûté 9,5 millions de dollars à plus de 50 victimes, selon l'analyse partagée par le détective en chaîne alias ZachXBT. L'attaque a ciblé plusieurs chaînes : Bitcoin (BTC), Ethereum Virtual Machine (EVM), Tron (TRX), Solana (SOL) et XRP Ledger (XRPL). L'analyse en chaîne a montré que l'attaquant avait blanchi des fonds volés via l'échange de crypto-monnaie KuCoin et AudiA6, une plate-forme de mixage centralisée. Pendant ce temps, Apple a signalé la fausse application Ledger Live comme frauduleuse et l'a supprimée lundi. La réplique frauduleuse de Ledger Live a passé avec succès le processus d’examen de l’App Store d’Apple et est devenue détectable par les utilisateurs recherchant la plateforme légitime. Étant donné que la fausse version manquait de fonctionnalités visuelles qui la distinguaient de la vraie, les utilisateurs de cryptographie novices et expérimentés ont été arnaqués. La fausse application Ledger Live a demandé aux utilisateurs une phrase de départ, déguisée en restauration de portefeuille. Notamment, la véritable application Ledger Live ne demande jamais de phrase de départ. Pendant ce temps, les utilisateurs de la fausse application ont saisi sans le savoir leur phrase de départ, cédant ainsi la clé principale de l'ensemble de leur portefeuille de cryptographie. En conséquence, l’attaquant a reconstruit de manière transparente les portefeuilles des victimes sur des appareils distincts et a systématiquement drainé leurs fonds sur plusieurs réseaux blockchain. La perte confirmée la plus importante était d'environ 3,22 millions de dollars en Tether (USDT), drainés le 9 avril. Le 11 avril, l'attaquant a pris 2,08 millions de dollars en USD Coin (USDC) de Circle. En conséquence, ZachXBT a suggéré qu'Apple pourrait faire face à un recours collectif pour avoir permis à la fausse application de passer son processus d'examen.