Il team di DeFiLlama ha caricato un wallet con criptovaluta reale, l'ha consegnato a una versione contraffatta della propria app e ha visto i soldi svanire. Apple ha rimosso l'elenco della truffa giorni dopo.
Mesi di reclami per marchi e impersonificazione non avevano portato a nulla. Solo il furto documentato ha mosso i revisori di Apple, secondo un post dello sviluppatore di DeFiLlama 0xngmi.
Come l'App Falsa di DeFiLlama ha Svuotato un Wallet Reale
DeFiLlama traccia il capitale bloccato nei protocolli di finanza decentralizzata (DeFi), e i trader trattano i suoi dashboard come un punto di riferimento. Quella fiducia ha reso il marchio degno di essere copiato.
Il clone era rozzo. Chiedeva semplicemente agli utenti di inserire la loro frase seed—le 12 o 24 parole che controllano un wallet—e poi svuotava tutto ciò che trovava.
Nessun wallet legittimo o app di analisi richiede mai quella frase. Tuttavia, un badge dell'App Store conferisce il tipo di credibilità che un sito web di phishing non può acquistare, motivo per cui gli exploit dei wallet su iPhone continuano a fruttare per gli attaccanti.
Gli operatori hanno anche superato i controlli di identità di Apple. Hanno registrato l'account sviluppatore utilizzando un piccolo negozio di scarpe incorporato 40 anni fa e da tempo dissolto, ha detto 0xngmi. La stessa squadra ha preso di mira altri importanti marchi crypto.
Così il team ha smesso di presentare rapporti e ha invece costruito un caso. Hanno finanziato un wallet usa e getta, installato l'app falsa, inserito la frase, perso le monete e inviato a Apple le prove. L'elenco è scomparso in pochi giorni.
Iscriviti al nostro canale YouTube per vedere leader e giornalisti fornire approfondimenti esperti
Il Processo di Revisione Affronta una Crescente Pressione
Questo caso non è isolato. Kaspersky ha conteggiato 26 app di wallet fraudolente sull'App Store ad aprile, con diverse che impersonano Ledger, MetaMask e Trust Wallet, secondo la sua ricerca.
Le vittime raramente sono negligenti. Ad aprile, una falsa app di Ledger è costata al musicista G. Love quasi 6 BTC dopo che ha fidato di un download dall'App Store. I siti web imitatori funzionano allo stesso modo, e un clone di phishing di Uniswap ha sottratto circa 400.000 dollari ai trader a maggio.
Nel frattempo, tre detentori di Bitcoin hanno citato in giudizio Apple a fine luglio per un'inserzione contraffatta di Sparrow Wallet che dicono abbia costato loro 1,8 milioni di dollari in totale.
Pertanto, il divario di incentivi appare evidente. I marchi assorbono i danni reputazionali, gli utenti assorbono le perdite e il negozio continua a incassare commissioni.
I team di sicurezza continuano a segnalare lo stesso punto debole. Il chief security officer di Binance ha recentemente sostenuto che il phishing e il malware, non attacchi crittografici esotici, sono ciò che svuota i wallet oggi. Annunci falsi e siti spoofati, inclusa una recente campagna di phishing di Trezor, rafforzano questo punto.
DeFiLlama ha trattenuto il proprio rilascio iOS per mesi affinché nessun utente potesse prendere prima un impostore. Quella cautela è costata al progetto tempo e slancio. Se i team rivali ora copiano il manuale del drenaggio dice di più sul processo di Apple che sulla crypto.
Fonte: BeInCrypto
