Apple gỡ bỏ ứng dụng Ledger giả mạo đánh cắp 9,5 triệu USD

Apple đã xác nhận gỡ bỏ một ứng dụng giả mạo ví tài sản mã hóa Ledger Live khỏi App Store và chấm dứt quyền hoạt động của nhà phát triển mang tên “SAS Software Company” sau khi phân tích on-chain cho thấy thiệt hại lên tới 9,5 triệu USD trong chưa đầy một tuần. Theo nhà phân tích blockchain ZachXBT, hơn 50 nhà đầu tư đã trở thành nạn nhân trong giai đoạn từ ngày 7 đến 13 tháng 4.

Thiệt hại tập trung chủ yếu vào ba nạn nhân lớn nhất: một người mất 3,23 triệu USD bằng USDt, một người mất 2 triệu USD bằng USDC, và người thứ ba mất 1,95 triệu USD dưới dạng Bitcoin, Ether và Ether đã staking. Nạn nhân đáng chú ý khác là nhạc sĩ người Mỹ Garrett Dutton, được biết đến với nghệ danh “G. Love”, cho biết ông mất 420.000 USD giá trị Bitcoin do vụ lừa đảo này.

Chiến thuật bait-and-switch và lỗ hổng kiểm duyệt App Store

Theo Apple, nhà phát triển đã sử dụng chiến thuật “bait-and-switch”, ban đầu đưa ứng dụng qua quy trình phê duyệt hợp lệ, sau đó chỉnh sửa nội dung để giả mạo Ledger Live, dụ người dùng nhập cụm từ khôi phục ví. Đây là thông tin nhạy cảm nhất trong bảo mật ví tự lưu ký, vì bất kỳ ai nắm được seed phrase đều có thể rút toàn bộ tài sản mà không cần thêm bước xác thực nào.

Chiến thuật này không phải là hiện tượng mới trên App Store. Apple cho biết trong năm 2024 đã gỡ bỏ hoặc từ chối hơn 17.000 ứng dụng sử dụng bait-and-switch, từ chối hơn 320.000 hồ sơ bị đánh dấu là spam hoặc gây hiểu nhầm, và chặn hơn 37.000 ứng dụng có dấu hiệu gian lận trước khi tiếp cận người dùng. 

Hình thức lừa đảo này đã tồn tại ít nhất từ năm 2013, khi một bản sao trò chơi Pokémon Yellow giả mạo lọt qua kiểm duyệt và được bán cho người dùng trước khi bị gỡ. App Store không phải môi trường duy nhất bị khai thác. Cuối năm 2023, Microsoft App Store cũng bị vượt qua theo cách tương tự, dẫn đến khoảng 600.000 USD tài sản mã hóa bị đánh cắp.

Vụ việc phản ánh một thực tế đáng lo ngại: ngay cả các nền tảng phân phối ứng dụng lớn nhất thế giới với quy trình kiểm duyệt chặt chẽ vẫn không thể loại bỏ hoàn toàn rủi ro với ứng dụng giả mạo tài sản mã hóa. Trong bối cảnh đó, việc người dùng chủ động xác minh nguồn gốc ứng dụng trực tiếp từ website chính thức của nhà phát triển, thay vì chỉ dựa vào kết quả tìm kiếm trên App Store, ngày càng trở thành yêu cầu bắt buộc hơn là khuyến nghị tùy chọn.

Nguồn: phocapblockchain.net