O mercado das criptomoedas foi abalado por um ataque informático sofisticado que visou especificamente os utilizadores de computadores da Apple. Uma aplicação maliciosa, que simulava ser o software oficial Ledger Live, conseguiu infiltrar-se na App Store da gigante tecnológica e, em apenas alguns dias, roubou cerca de 9,5 milhões de euros (aproximadamente 10 milhões de dólares) a pelo menos 50 vítimas.
O método do roubo e as vítimas atingidas
O esquema funcionava através da manipulação direta dos utilizadores. Ao descarregarem a aplicação falsa, as vítimas eram induzidas a introduzir a sua frase de recuperação (seed phrase), o que concedia aos atacantes controlo total sobre as carteiras digitais. De acordo com informações partilhadas pelo investigador de blockchain ZachXBT, os fundos foram desviados para endereços externos em várias redes, incluindo Bitcoin, Ethereum, Solana e Ripple.
Entre as vítimas identificadas, três perderam valores superiores a um milhão de euros cada. O músico G. Love também confirmou publicamente ter sido afetado, perdendo cerca de 5,9 BTC (mais de 400 mil euros) após ter instalado o software fraudulento. Os ativos roubados foram posteriormente branqueados através de mais de 150 endereços de depósito na plataforma KuCoin, utilizando um serviço de mistura centralizado conhecido como AudiA6, que cobra taxas elevadas para ocultar o rasto do dinheiro.
Falha de segurança na loja oficial da Apple
A aplicação maliciosa foi submetida à loja da Apple sob o nome de editor Leva Heal Limited, uma conta sem qualquer ligação à equipa real de desenvolvimento da Ledger. Para parecer legítima e contornar a vigilância, a aplicação apresentava um histórico de versões falso, lançando atualizações massivas quase diariamente para simular um desenvolvimento ativo.
Conforme detalhado em relatórios de segurança no Chainabuse, a Apple já removeu o software da sua loja após múltiplas denúncias, mas o atraso na resposta permitiu que o prejuízo atingisse valores recorde. É importante recordar que a Ledger disponibiliza a sua aplicação oficial para Mac exclusivamente no seu site, não possuindo qualquer versão para computadores na App Store oficial.
A KuCoin anunciou, entretanto, o congelamento das contas envolvidas no esquema, embora tenha alertado que esta medida é temporária e depende de pedidos oficiais das autoridades policiais para ser prolongada além do dia 20 de abril. Esta não é a primeira vez que criminosos aproveitam a ausência de apps oficiais em lojas de sistemas operativos para enganar investidores de IA e criptoativos, tendo ocorrido um caso semelhante na loja da Microsoft no ano passado.
Nenhum comentário
Seja o primeiro!