Підроблені криптогаманці, створені для викрадення цифрових активів, виявлено в Apple App Store
ra****@gmail.com2026-05-07
Kaspersky виявила 26 фальшивих додатків криптогаманців в iOS App Store, які викрадали початкові фрази. Окремий підроблений додаток Ledger за тиждень через міксер AudiA6 викрав 9,5 млн доларів у понад 50 жертв.
Магазин App Store мав міцну репутацію безпечного місця для завантаження додатків. У цьому відношенні вважалося, що шкідливе програмне забезпечення не пройде процес перевірки. Ця репутація сильно постраждала у квітні 2026 року, коли дослідники безпеки виявили 26 шахрайських додатків криптогаманців в App Store; крім того, фальшивий додаток Ledger викрав понад 9,5 мільйона доларів у більш ніж 50 осіб менш ніж за сім днів. Ці інциденти викривають значний недолік у безпеці App Store, про який користувачі криптовалют повинні бути поінформовані.
Кампанія FakeWallet
Команда Kaspersky Threat Intelligence ретельно проаналізувала скоординовану шкідливу операцію під назвою FakeWallet. Цю операцію було відстежено до мінімального часового проміжку осені 2025 року, і вона, ймовірно, пов'язана з тими ж акторами, які раніше були відомі завдяки SparkKitty — шкідливій операції на базі iOS, про яку повідомлялося лише роком раніше. Додатки були розроблені таким чином, щоб виглядати та діяти так само, як сім різних популярних криптогаманців (MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken та Bitpie). Вони імітували візуальний вигляд та інтерфейс, щоб пройти звичайну перевірку — і були знайдені переважно в китайському iOS App Store, де через місцеві регуляції не існують офіційні криптогаманці. Зловмисники прагнули використати цю прогалину, створюючи свої додатки як ігри/калькулятори, щоб пройти початкову перевірку Apple, і переходити до шкідливих дій після встановлення.
Як працює атака
Після встановлення шкідливого додатку, він перенаправляє користувачів на веб-сторінку, яка виглядає як легітимна сторінка Apple App Store, просячи завантажити те, що насправді є троянізованою версією додатку криптогаманця. Потім сторінка пропонує користувачеві встановити профіль розробника (легітимний, внутрішній метод розповсюдження додатків для Apple), який, після схвалення, встановить троянізовану версію криптогаманця на телефон користувача. Після завершення встановлення атака продовжиться залежно від типу гаманця, який атакується.
Якщо гаманець, який використовує жертва, класифікується як «гарячий» гаманець, шкідливе програмне забезпечення перехоплюватиме екран створення або відновлення гаманців, очікуючи моменту, коли жертва введе свою мнемонічну фразу. Якщо шкідливе програмне забезпечення зможе перехопити мнемонічну фразу (а жертва не матиме жодного способу дізнатися, що її було перехоплено), зловмисники отримають повний, постійний контроль над гаманцем жертви та всім, що в ньому зберігається. Це неможливо скасувати. Блокчейн не має уявлення, як було отримано приватний ключ.
Для гаманців, що належать до категорії «холодних» гаманців, таких як Ledger, шкідливе програмне забезпечення використовуватиме інший вектор атаки для отримання контролю над активами гаманця жертви. Легітимний додаток Ledger для смартфона ніколи не запитує мнемонічні фрази та взаємодіє лише з апаратним пристроєм Ledger (фактичні приватні ключі зберігаються на цьому апаратному пристрої). Шкідливе програмне забезпечення створить фальшиву версію додатку Ledger для смартфона та надасть кроки для цілей верифікації; кроки верифікації вимагатимуть мнемонічної фрази жертви для завершення процесу верифікації. Цей процес встановлення навмисно розроблений для зловживання рівнем довіри жертви до легітимного додатку для отримання безпечного доступу до її активів.
Захоплені мнемонічні фрази шифруються за допомогою RSA і передаються на сервери, контрольовані зловмисниками. Після виведення коштів відновлення неможливе.
Інцидент з Ledger та фінансові збитки
Між 7 та 13 квітня шахрайськи створений додаток Ledger Live у macOS App Store обманув понад 50 різних жертв на загальну суму понад 9,5 мільйона доларів. Три найбільші втрати склали 3,23 мільйона доларів у USDT, 2,08 мільйона доларів у USDC та 1,95 мільйона доларів у комбінованих типах BTC, ETH та stETH. 7,76 мільйона доларів викрадених коштів було переведено через 150 окремих адрес для депозитів KuCoin та відмито через централізований сервіс міксування під назвою AudiA6, який був розроблений для приховування будь-яких слідів транзакційної активності. Одна з жертв повідомила про втрату еквівалента 5,9 BTC (10 років заощаджень) після помилкового завантаження офіційно виглядавшої версії додатка під час налаштування свого нового комп'ютера.
Ключові факти з першого погляду
Що повинні робити користувачі
Після відповідального розкриття інформації Kaspersky, Apple видалила 25 із 26 додатків FakeWallet до публікації дослідження. Після оприлюднення звіту про крадіжку Apple видалила шахрайський додаток Ledger для macOS.
За даними Kaspersky, вам не слід встановлювати жодного профілю розробника, який не авторизований вашим роботодавцем для легітимних ділових цілей. Ви також не повинні вводити свою мнемонічну фразу в будь-який додаток, який несподівано її запитує, оскільки справжні додатки гаманців ніколи не вимагатимуть мнемонічну фразу без використання своїх фізичних апаратних пристроїв. Вам також слід перевіряти видавця кожного додатка, який ви завантажуєте, перевіряючи офіційний веб-сайт розробника, перш ніж завантажувати додаток, незалежно від того, чи отримуєте ви його з App Store.
App Store не захищений від компрометації. Це добре задокументований факт, підтверджений доказами, а не теоретична проблема, захована в безпековому документі, який більшість користувачів не читають.
