Фальшивое Ledger Live в App Store: как подделка украла $9,5 млн за одну неделю

Мошенники загрузили приложение с названием, схожим с «Ledger Live», и иконкой-клоном, обойдя автоматическую модерацию Apple. Фейк мимикрировал под легитимный интерфейс и на первом экране запрашивал 24-словную seed-фразу под предлогом «синхронизации с устройством». Apple удалила приложение после жалоб, но за неделю оно успело собрать миллионы долларов. Риск: App Store и Google Play не гарантируют безопасность крипто-приложений — проверка разработчика и официального сайта обязательна.

Три проверки: 1) разработчик в App Store — строго «Ledger SAS», не «Ledger Inc», не «Ledger Wallet» и не другие вариации; 2) ссылка на скачивание — только через ledger.com/ledger-live, никаких сторонних сайтов; 3) приложение никогда не просит ввести seed-фразу — это мгновенный признак мошенничества. Дополнительно: проверяйте количество отзывов и дату первой публикации — фейки появляются недавно и имеют накрученные оценки. Риск: профессиональные клоны визуально неотличимы без проверки метаданных.

Seed-фраза уходит на сервер мошенников немедленно — в течение секунд автоматический бот импортирует кошелёк и выводит все доступные активы. Порядок вывода: сначала стейблкоины и крупные позиции, затем остальное. Процесс занимает 1–3 минуты. Никакого «окна реакции» нет — к моменту осознания кошелёк уже пуст. Риск: восстановить средства невозможно — транзакции в блокчейне необратимы, а правоохранительные органы крайне редко возвращают похищенную крипту.

Нет. Аналогичные атаки зафиксированы для Trezor Suite, MetaMask, Trust Wallet, Exodus и других популярных кошельков. По данным Securelist, в App Store регулярно появляются клоны с названиями типа «MetaMask Wallet», «Trust — Crypto & Bitcoin Wallet» с подменёнными разработчиками. Схема единая: фейковый интерфейс → запрос seed-фразы или приватного ключа → автоматический дрейн. Риск: с ростом популярности крипты частота появления фейков в магазинах приложений увеличивается.

Не принципиально. Google Play также содержит поддельные крипто-приложения, причём проверка разработчиков там исторически менее строгая, чем в App Store. Дополнительный риск на Android — установка APK из сторонних источников, где вредоносное ПО встраивается непосредственно в клон приложения. Единственно безопасный путь: переходить на страницу приложения строго через официальный сайт разработчика кошелька, а не через поиск в магазине. Риск: поиск «Ledger» в Google Play выдаёт и фейки наравне с оригиналом.

Хардварный кошелёк (Ledger, Trezor) хранит приватные ключи на физическом устройстве и никогда не передаёт их в приложение. Но это защищает только при корректном использовании: если пользователь вводит seed-фразу в фейковое приложение — устройство бессильно, потому что seed-фраза и есть мастер-ключ. Атака через фейковый Ledger Live бьёт именно по этой точке: жертва думает, что «подключает» железо, а на деле сдаёт ключи. Риск: хардварный кошелёк защищает от удалённых атак, но не от социальной инженерии.

Нет. Apple не несёт ответственности за убытки от мошеннических приложений в крипте. Платёж за само приложение теоретически можно оспорить, но похищенные криптоактивы Apple не компенсирует — это вне её юрисдикции.