النقاط الرئيسية:
- ربط ZachXBT سرقة بقيمة 9.5 مليون دولار من تطبيق مزيف لـ Ledger Live على متجر تطبيقات Apple بما يُزعم أنه أكثر من 150 عنوان إيداع في Kucoin.
- خسر الموسيقي G. Love ما يقرب من 6 BTC؛ وخسر أكبر 3 ضحايا كل منهم 7 أرقام بين 7 و13 أبريل.
- قامت Apple في النهاية بإزالة التطبيق المزيف من متجر التطبيقات.
تطبيق Ledger Live المزيف لنظام iOS استنزف 9.5 مليون دولار قبل أن تزيله Apple، حسبما وجد ZachXBT
نشر ZachXBT نتائجه يوم الثلاثاء 14 أبريل على X، موضحًا كيف أوقع التطبيق المزيف أكثر من 50 مستخدمًا ضحايا بين 7 و13 أبريل عبر شبكات بيتكوين وEVM وTron وSolana وRipple. أزالت Apple التطبيق في اليوم السابق لمنشوره.
خسر أكبر ثلاثة ضحايا كل منهم سبعة أرقام. خسر أحد المستخدمين 3.23 مليون دولار في USDT في 9 أبريل. وخسرت ضحية ثانية 2.079 مليون دولار في USDC في 11 أبريل. وخسر ثالث ما قيمته 1.95 مليون دولار من العملات المشفرة في 8 أبريل، بما في ذلك 20.64 BTC و211 stETH و70 ETH.
كان من بين الضحايا الآخرين الذين تعرضوا للاحتيال الموسيقي غاريت داتون، المعروف مهنيًا باسم G. Love، الذي خسر ما يقرب من 6 BTC للتطبيق المزيف. حدد ZachXBT خدمة AudiA6 كخدمة الخلط المركزية المستخدمة لنقل الأموال المسروقة.
وصف AudiA6 بأنها خدمة تفرض رسومًا عالية لمعالجة الأموال غير المشروعة، وزعم أن الأموال المسروقة انتقلت عبر عنوان الإيداع في Kucoin المتصلة بتلك الخدمة. كما ادعى المحقق أن جهة تهديد منفصلة قامت بغسل 3.5 مليون دولار من حادثة Bitcoin Depot من خلال أكثر من 25 عنوان إيداع في Kucoin في الأيام التي سبقت السرقة المتعلقة بـ Ledger.
على X، بعد أن نشر حساب Kucoin الرسمي على X منشور تصويت عشوائي A وB، قرر ZachXBT الرد باتهاماته. "C) هل تريد أن تشرح للمجتمع لماذا سمحت Kucoin لجهة تهديد بغسل أكثر من 9.5 مليون دولار مرتبطة بتطبيق Ledger مزيف عبر أكثر من 150 عنوان إيداع في Kucoin خلال الأسبوع الماضي؟" سأل ZachXBT. وأضاف المحقق على البلوكشين:
عندما رد حساب Kucoin الرسمي على X على الجدل من خلال طلب MEXC UID ورقم تذكرة للنظر في الأمر، رد ZachXBT بصورة لوثيقة تحديد الصورة لرضيع، مما يعني أن عملية التحقق من KYC الخاصة بالبورصة غير كافية.
لم تكن Kucoin قد ردت علنًا على تلك الاتهامات المحددة وقت النشر. من المحتمل أن يكون رد MEXC UID ورقم التذكرة من وكيل خدمة العملاء.
قال ZachXBT إن الوضع قد يوفر أسبابًا لدعوى جماعية ضد Apple لاستضافة التطبيق الاحتيالي. تمتد عناوين السرقة التي نشرها ZachXBT عبر عدة بلوكتشين، بما في ذلك بيتكوين وبلوكتشين الإيثريوم وTron وSolana وRipple، مع تحديد محافظ محددة متصلة بكل ضحية.
أثار وجود تطبيق Ledger Live المزيف على متجر تطبيقات Apple أسئلة أوسع حول كيفية مرور البرامج الضارة عبر عملية مراجعة Apple ومدة تشغيلها قبل الإزالة.
في ملاحظة مشتركة مع Bitcoin.com News، أكد Charles Guillemet كبير مسؤولي التكنولوجيا في Ledger أن شركته لن تطلب أبدًا عبارة البذور. "لن تطلب Ledger أبدًا كلماتك الـ 24. إذا طلب أي شخص أو أي تطبيق كلماتك الـ 24، فافترض أن هناك خطأ ما"، أوضح Guillemet.
"تذكّر Ledger المجتمع باستمرار بذلك. لا يمكنك الوثوق ببيئة البرامج من حولك - ليس المتصفح الخاص بك، ولا متجر التطبيقات الخاص بك، ولا تطبيق سطح المكتب الخاص بك. يعمل المهاجمون أينما وُجدت الفرصة، وهذا يشمل منصات التوزيع الرسمية. الحماية الوحيدة التي تصمد هي الاحتفاظ بمفاتيحك الخاصة على جهاز مخصص مع شاشة آمنة، مثل جهاز توقيع Ledger، وعدم إدخال عبارة البذور الخاصة بك في أي تطبيق أو موقع ويب. كلماتك الـ 24 هي محفظتك"، أضاف كبير مسؤولي التكنولوجيا في شركة محفظة الأجهزة.
المصدر: https://news.bitcoin.com/zachxbt-says-apple-app-store-fake-ledger-app-stole-9-5m-from-50-victims-in-one-week/
