Apple App Store’daki sahte Ledger Live, 50’den fazla kullanıcıdan 9,5 milyon dolar kripto çaldı

Apple App Store’daki sahte ‘Ledger Live’ uygulaması, 50’den fazla kişiden toplam 9,5 milyon dolar değerinde kripto varlık çaldı. On-chain araştırmacısı ZachXBT(잭XBT), 7–13 Nisan tarihleri arasında gerçekleşen bu saldırıda, Bitcoin(BTC), Ethereum(ETH), Solana(SOL) ve Tron(TRX) gibi farklı ağlardaki kullanıcılardan ‘toplam yaklaşık 9,5 milyon dolar’ yani ‘yaklaşık 139,8 milyar won’ tutarında kripto paranın çekildiğini açıkladı.

13’ünde (yerel saatle) ZachXBT’nin Telegram’da paylaştığı on-chain verilere göre, çalınan fonlar önce ‘150’den fazla KuCoin(KuCoin) mevduat adresine’ dağıtıldı, ardından da ‘merkezi bir karıştırma (mixer) servisi’ gibi görünen ‘Audit A6(오디 A6)’ ile ilişkilendirilen adresler üzerinden ‘para aklama’ amacıyla hareket ettirildi. ‘Apple’ ve ‘KuCoin(KuCoin)’ haberin yazıldığı sırada henüz resmi bir açıklama yapmadı; bu nedenle hem ‘toplam zarar’ hem de ‘mağdur sayısı’ şu an için yalnızca ZachXBT’nin teknik incelemesine dayanıyor. ‘yorum: Resmi makamlar veya Ledger tarafından on-chain analizinin doğrulanması hâlinde zarar tablosu değişebilir.’

Bugüne kadar tespit edilen ‘en büyük üç kayıp vakası’ toplam zararın önemli bölümünü oluşturuyor. İlk vakada bir kullanıcı; Bitcoin(BTC), staked Ether(stETH) ve Ethereum(ETH) varlıklarını kaybederek ‘yaklaşık 1,95 milyon dolar’ zarar etti. İkinci vakada 9 Nisan’da ‘323 milyon USDt(USDT)’ değil, ‘3,23 milyon dolar değerinde USDt(USDT)’ çekildi; zincir üstü hareketler, fonların kısa sürede farklı cüzdanlara dağıtıldığını gösteriyor. Üçüncü büyük vakada ise 11 Nisan’da ‘yaklaşık 2 milyon dolar tutarında USDC(USDC)’ hırsızlığı doğrulandı. ‘yorum: Saldırganlar, stablecoin’leri hızlıca borsalara veya köprü protokollerine taşıyarak iz sürmeyi zorlaştırmayı hedefliyor.’

Ledger(Ledger) baş teknoloji sorumlusu (CTO) Charles Guillemet(찰스 귀예메), 13’ünde (yerel saatle) Cointelegraph’a verdiği demeçte, şirketin güvenlik politikasını netleştirdi: ‘Ledger(Ledger) hiçbir koşulda 24 kelimelik kurtarma ifadenizi istemez.’ Guillemet, “Ne tarayıcıya, ne App Store’a, ne de masaüstü yazılımlarına tamamen güvenilebilir. Her zaman ek doğrulama yapın.” diyerek ‘sözde resmi görünen arayüzlerin bile güvenlik garantisi sağlamadığını’ vurguladı. Kullanıcıların ‘yalnızca Ledger(Ledger) donanım cüzdan ekranında görünen talimatlara uyması’ gerektiğinin altını çizdi.

Sahte Ledger Live vakası, bir gün önce rapor edilen benzer bir olayın hemen ardından geldi. Müzisyen Garrett Dutton(개럿 더튼), sahne adıyla ‘G. Love’, Apple App Store’dan indirdiği ‘kötücül bir uygulama’ya kurtarma ifadelerini girdiğini ve sonucunda ‘yaklaşık 420 bin dolar değerinde Bitcoin(BTC)’ kaybettiğini açıkladı. Art arda yaşanan bu iki saldırı, ‘resmi uygulama mağazalarının da artık saldırganların doğrudan hedefi haline geldiğini’ ve ‘kullanıcıların sadece mağaza filtresine güvenmesinin yeterli olmadığını’ bir kez daha gösteriyor.

Uzmanlar, bu tür saldırılara karşı ‘en kritik savunma hattının kullanıcı farkındalığı’ olduğuna dikkat çekiyor. Özellikle şu noktalara vurgu yapılıyor:

– ‘Hiçbir cüzdan sağlayıcısı, kurtarma ifadesini veya özel anahtarı uygulama içinde veya web formunda talep etmez.’

– ‘Donanım cüzdan işlemlerinde yalnızca cihaz ekranında onaylanan adres ve tutar esas alınmalıdır.’

– ‘Uygulamalar, yalnızca resmi sitenin yönlendirdiği mağaza sayfasından indirilmelidir.’

‘yorum: Kripto piyasasında kurumsal güvenlik önlemleri gelişse de, saldırganlar hâlâ uç noktadaki bireysel kullanıcıyı en zayıf halka olarak hedefliyor. Sahte uygulama ve kimlik avı vakalarının, özellikle boğa piyasası dönemlerinde artması bekleniyor.’