DeFiLlama poświęcił prawdziwą kryptowalutę, aby zmusić Apple do działania

Zespół DeFiLlama załadował portfel prawdziwą kryptowalutą, przekazał go fałszywej wersji swojej aplikacji i obserwował, jak pieniądze znikają. Apple usunęło oszukańczą ofertę kilka dni później.

Miesiące skarg dotyczących znaków towarowych i podszywania się nie przyniosły żadnych rezultatów. Tylko udokumentowana kradzież poruszyła recenzentów Apple, według wpisu dewelopera DeFiLlama 0xngmi.

Jak fałszywa aplikacja DeFiLlama opróżniła prawdziwy portfel

DeFiLlama śledzi kapitał zablokowany w protokołach finansów zdecentralizowanych (DeFi), a traderzy traktują jego pulpity jako punkt odniesienia. To zaufanie sprawiło, że marka stała się warta skopiowania.

Klona był prymitywny. Po prostu prosił użytkowników o wprowadzenie frazy seed — 12 lub 24 słów, które kontrolują portfel — a następnie opróżniał wszystko, co znalazł.

Żaden legalny portfel ani aplikacja analityczna nigdy nie prosi o tę frazę. Jednak odznaka App Store nadaje wiarygodność, której strona phishingowa nie może kupić, dlatego exploity portfeli iPhone'a wciąż przynoszą zyski atakującym.

Operatorzy przeszli również przez kontrole tożsamości Apple. Zarejestrowali konto dewelopera używając małego sklepu obuwniczego założonego 40 lat temu, który od dawna został rozwiązany, powiedział 0xngmi. Ta sama ekipa celowała w inne duże marki kryptowalutowe.

Zespół przestał składać raporty i zamiast tego zbudował sprawę. Sfinansowali tymczasowy portfel, zainstalowali fałszywą aplikację, wprowadzili frazę, stracili monety i wysłali Apple dowody. Oferta zniknęła w ciągu kilku dni.

Subskrybuj nasz kanał YouTube, aby oglądać liderów i dziennikarzy, którzy dostarczają fachowych spostrzeżeń

Proces przeglądu stoi w obliczu rosnącej presji

Ta sprawa nie jest odosobniona. Kaspersky policzył 26 oszukańczych aplikacji portfeli w App Store w kwietniu, z których kilka podszywało się pod Ledger, MetaMask i Trust Wallet, według jego badań.

Ofiary rzadko są lekkomyślne. W kwietniu fałszywa aplikacja Ledger kosztowała muzyka G. Love'a prawie 6 BTC po tym, jak zaufał pobraniu z App Store. Strony internetowe imitujące działają w ten sam sposób, a jeden klon phishingowy Uniswap wyłudził około 400 000 dolarów od traderów w maju.

Tymczasem trzech posiadaczy Bitcoinów pozwało Apple pod koniec lipca z powodu fałszywego wpisu Sparrow Wallet, który, jak twierdzą, kosztował ich łącznie 1,8 miliona dolarów.

Dlatego luka w zachętach wygląda wyraźnie. Marki ponoszą reputacyjne straty, użytkownicy ponoszą straty finansowe, a sklep nadal pobiera opłaty.

Zespoły ds. bezpieczeństwa wciąż wskazują na ten sam słaby punkt. Główny oficer bezpieczeństwa Binance niedawno argumentował, że phishing i złośliwe oprogramowanie, a nie egzotyczne ataki kryptograficzne, to te, które dzisiaj opróżniają portfele. Fałszywe reklamy i podrobione strony, w tym niedawna kampania phishingowa Trezor, potwierdzają ten punkt.

DeFiLlama wstrzymało swoją własną wersję iOS przez miesiące, aby żaden użytkownik nie pobrał najpierw oszusta. Ta ostrożność kosztowała projekt czas i impet. To, czy rywalizujące zespoły teraz skopiują podręcznik 'wyciągnij sam' mówi więcej o procesie Apple niż o kryptowalutach.

Źródło: BeInCrypto