Fake Ledger Live app on Apple’s App Store stole $9.5M in crypto

Escroquerie à la cryptomonnaie via une fausse application Ledger sur macOS

Une application malveillante se faisant passer pour « Ledger Live » a été diffusée sur l’App Store d’Apple, entraînant le vol de 9,5 millions de dollars en cryptomonnaies auprès de 50 victimes en quelques jours. L’application, publiée par un compte tiers (« Leva Heal Limited »), incitait les utilisateurs à saisir leur phrase de récupération (seed phrase), permettant ainsi aux attaquants de vider leurs portefeuilles.

Points clés :

• Mode opératoire : L’application imitait le logiciel officiel de Ledger pour voler les accès aux portefeuilles multi-chaînes (Bitcoin, Ethereum, Tron, Solana, Ripple).
• Blanchiment : Les fonds volés ont été transférés via plus de 150 adresses de dépôt sur la plateforme KuCoin, en utilisant le service de mixage « AudiA6 ».
• Statut actuel : L’application a été retirée de l’App Store après signalement. KuCoin a temporairement gelé les comptes liés à l’opération.

Vulnérabilités :

• Aucune CVE spécifique n’est associée à cet incident, car il s’agit d’une attaque par ingénierie sociale exploitant l’absence de version officielle de l’application Ledger Live sur l’App Store macOS et la confiance des utilisateurs dans la plateforme d’Apple.

Recommandations :

• Vérification des sources : Téléchargez toujours les logiciels de gestion de cryptomonnaies exclusivement depuis les sites officiels des constructeurs.
• Sécurité des phrases de récupération : Ne saisissez jamais votre phrase de récupération (seed phrase) dans une application ou un site web ; elle doit rester sur votre support physique ou votre appareil Ledger.
• Vigilance sur les éditeurs : Vérifiez systématiquement le nom de l’éditeur sur les boutiques d’applications avant tout téléchargement.
• Rappel de sécurité : Ledger ne propose pas d’application de bureau sur l’App Store d’Apple (uniquement une version iOS).

Source