El equipo de DeFiLlama cargó una billetera con criptomonedas reales, se la entregó a una versión falsa de su propia aplicación y vio cómo el dinero desaparecía. Apple eliminó la lista de estafa días después.
Meses de quejas por marcas registradas e impersonación no habían logrado nada. Solo el robo documentado movió a los revisores de Apple, según una publicación del desarrollador de DeFiLlama 0xngmi.
Cómo la Aplicación Falsa de DeFiLlama Drenó una Billetera Real
DeFiLlama rastrea el capital bloqueado en protocolos de finanzas descentralizadas (DeFi), y los traders tratan sus paneles como un punto de referencia. Esa confianza hizo que la marca valiera la pena copiar.
El clon era rudimentario. Simplemente pedía a los usuarios que ingresaran su frase semilla—las 12 o 24 palabras que controlan una billetera—y luego vaciaba lo que encontraba.
Ninguna billetera legítima o aplicación de análisis solicita esa frase. Sin embargo, una insignia de la App Store otorga el tipo de credibilidad que un sitio web de phishing no puede comprar, razón por la cual las explotaciones de billeteras en iPhone siguen siendo rentables para los atacantes.
Los operadores también pasaron por las verificaciones de identidad de Apple. Registraron la cuenta de desarrollador utilizando una pequeña tienda de zapatos incorporada hace 40 años y disuelta hace mucho tiempo, dijo 0xngmi. El mismo equipo ha apuntado a otras grandes marcas de criptomonedas.
Así que el equipo dejó de presentar informes y en su lugar construyó un caso. Financiaron una billetera desechable, instalaron la aplicación falsa, ingresaron la frase, perdieron las monedas y enviaron a Apple la evidencia. La lista desapareció en cuestión de días.
Suscríbete a nuestro canal de YouTube para ver a líderes y periodistas proporcionar información experta
El Proceso de Revisión Enfrenta una Creciente Presión
Este caso no es aislado. Kaspersky contó 26 aplicaciones fraudulentas de billetera en la App Store en abril, con varias haciéndose pasar por Ledger, MetaMask y Trust Wallet, según su investigación.
Las víctimas rara vez son descuidadas. En abril, una aplicación falsa de Ledger le costó al músico G. Love casi 6 BTC después de que confiara en una descarga de la App Store. Los sitios web imitadores funcionan de la misma manera, y un clon de phishing de Uniswap tomó aproximadamente $400,000 de los comerciantes en mayo.
Mientras tanto, tres poseedores de Bitcoin demandaron a Apple a finales de julio por un listado falso de Sparrow Wallet que dicen les costó $1.8 millones en total.
Por lo tanto, la brecha de incentivos parece marcada. Las marcas absorben el daño reputacional, los usuarios absorben las pérdidas y la tienda sigue cobrando tarifas.
Los equipos de seguridad siguen señalando el mismo punto débil. El director de seguridad de Binance argumentó recientemente que el phishing y el malware, no los ataques criptográficos exóticos, son lo que drena las billeteras hoy en día. Los anuncios falsos y los sitios suplantados, incluida una reciente campaña de phishing de Trezor, refuerzan ese punto.
DeFiLlama retuvo su propio lanzamiento en iOS durante meses para que ningún usuario pudiera agarrar primero un impostor. Esa precaución le costó al proyecto tiempo y momentum. Si los equipos rivales ahora copian el manual de drenaje dice más sobre el proceso de Apple que sobre las criptomonedas.
Fuente: BeInCrypto
