Alerta en la App Store: Una app falsa de Ledger roba $9.5M en una semana

Un grave fallo en los protocolos de revisión de Apple ha permitido que una aplicación maliciosa, diseñada para suplantar a Ledger Live, drenara aproximadamente $9.5 millones de dólares en criptoactivos. Durante siete días, entre el 7 y el 13 de abril, más de 50 usuarios cayeron en una trampa que ha reavivado el debate sobre la seguridad en las tiendas oficiales.

Anatomía del engaño

La aplicación, publicada bajo la entidad ficticia "Leva Heal Limited", atacó un punto ciego en la experiencia del usuario: la fragmentación de canales de descarga. Mientras que Ledger distribuye su app móvil en la App Store, su cliente de escritorio para Mac solo debe descargarse desde su sitio oficial.

Los atacantes aprovecharon esta confusión, lanzando una versión que simulaba un desarrollo activo (escalando de la versión 1.0 a la 5.0 en tiempo récord) para evadir sospechas. Una vez instalada, la app solicitaba la frase de recuperación, permitiendo a los criminales vaciar las wallets en múltiples cadenas como Bitcoin, Ethereum, Solana, Tron y Ripple.

Impacto y víctimas notables

El investigador on-chain ZachXBT documentó pérdidas devastadoras, incluyendo un robo individual de $3.23 millones en USDT. Entre los afectados destaca el músico G. Love, quien perdió 5.9 BTC (los ahorros de una década) al configurar un nuevo equipo.

"Perdí mi fondo de retiro en un instante", declaró el artista en X, subrayando la eficacia de este vector de ataque basado en la confianza hacia el ecosistema de Apple.

El rastro del dinero y el factor KuCoin

El flujo ilícito de activos fue rastreado hasta el exchange KuCoin, utilizando más de 150 direcciones de depósito y un servicio de mezcla centralizado conocido como "AudiA6". Aunque KuCoin ha congelado las cuentas involucradas de forma temporal, el incidente llega en un momento crítico para la plataforma, que recientemente fue restringida en la Unión Europea por reguladores austriacos a pesar de contar con licencia MiCA.

¿Es Apple responsable?

Aunque la aplicación ya fue retirada, el daño reputacional para Apple es considerable. El hecho de que una estafa de esta magnitud lograra superar los filtros de la App Store ha llevado a expertos como ZachXBT a sugerir la posibilidad de una demanda colectiva.

Este incidente deja una lección fundamental para la comunidad: las frases de recuperación jamás deben ingresarse en una aplicación de software. El propósito de una hardware wallet es, precisamente, mantener esas claves fuera de cualquier dispositivo conectado a internet.

¿Consideras que la confianza en la App Store de Apple está justificada después de que una estafa lograra escalar hasta la versión 5.0 bajo su supervisión?