Le musicien G. Love a perdu 5,92 BTC à cause d’une fausse application Ledger sur l’Apple Mac App Store. ZachXBT a retracé les fonds volés vers des adresses de dépôt KuCoin.
Garrett Dutton, connu professionnellement sous le nom de G. Love, a perdu près de six Bitcoin en quelques secondes après qu’une fausse application Ledger ait réussi à passer à travers les mailles du filet de l’Apple Mac App Store. L’application semblait légitime. Elle ne l’était pas.
S’exprimant sur X, G. Love a déclaré qu’il migrait son portefeuille matériel Ledger vers un nouvel ordinateur lorsqu’il a téléchargé ce qui semblait être l’application officielle. Le BTC a disparu instantanément. Il a décrit cette perte comme son fonds de retraite, constitué sur dix ans de détention.
« J’ai passé une journée très difficile aujourd’hui. J’ai perdu mon fonds de retraite dans un piratage/une arnaque lorsque j’ai transféré mon @Ledger sur mon nouvel ordinateur et que j’ai accidentellement téléchargé une application Ledger malveillante depuis le magasin @Apple », a-t-il posté. « Tout mon BTC a disparu en un instant. »
Apple a approuvé l’arnaque
La fausse application a passé le processus de vérification d’Apple. Cette partie n’a toujours pas été expliquée.Love a posté le hachage de la transaction sur X afin que d’autres puissent vérifier le vol sur la chaîne. Le hachage TX — 8753c7d24a28f677089aefb09628eb9b191e843ae965f55ca8ae87540561feaf — a confirmé le drainage. Il a déclaré que les 5,9 BTC représentaient tout ce qu’il possédait. « J’ai travaillé dur pour ça, faites gaffe les gars », a-t-il écrit.
Dans un autre post, il a partagé son adresse BTC, demandant à la communauté si quelqu’un souhaitait l’aider à récupérer ses fonds. « C’est soit pathétique, soit drôle, et je ressens les deux », a-t-il écrit.
ZachXBT a retracé chaque satoshi
L’enquêteur blockchain ZachXBT est intervenu. Il a retracé l’intégralité des 5,92 BTC à travers neuf transactions distinctes, toutes transitant par des adresses de dépôt KuCoin.
« Salut, j’ai retracé tes 5,92 BTC volés, et tout a été blanchis via des adresses de dépôt @kucoincom », a écrit ZachXBT sur X. Il a posté les neuf hachages de transaction. L’argent s’est déplacé rapidement. Au moment où quelqu’un l’a remarqué, il était déjà réparti sur plusieurs adresses et traité par l’exchange.
La documentation d’assistance de Ledger elle-même avertit que ce type d’attaque sévit depuis un certain temps. Selon la page officielle d’avertissement de Ledger sur la fraude, des acteurs malveillants créent des répliques convaincantes de Ledger Wallet et poussent les utilisateurs à saisir leur phrase de récupération secrète de 24 mots. Cette phrase, une fois tapée en dehors de l’appareil physique Ledger, donne un accès complet au portefeuille à l’attaquant.
Les directives de Ledger sont claires : la phrase de récupération ne doit jamais être saisie sur un ordinateur, une application mobile ou une plateforme en ligne. La restauration s’effectue uniquement sur l’appareil matériel lui-même lors de la configuration.
Le problème de l’App Store que personne n’a résolu
Ce n’est pas la première fois qu’une fausse application crypto passe à travers le processus de vérification d’Apple. La documentation de Ledger signale spécifiquement les fausses applications Chrome comme un vecteur d’attaque connu, notant que les téléchargements officiels ne doivent provenir que directement du site web de Ledger.
Le Mac App Store était censé être différent. Le contrôle était censé détecter cela. Ce ne fut pas le cas. Le cas de Love est plus qu’une perte personnelle. Le montant, 5,92 BTC, valait environ 420 000 dollars au moment du vol. Une décennie d’accumulation, drainée en quelques secondes par une application approuvée par une grande plateforme.
La traçabilité de ZachXBT situe les fonds volés sur KuCoin. La possibilité d’une récupération reste incertaine.
Laisser un commentaire