Фальшивые криптоприложения добрались до витрины Apple: приложение Padre Terminal, ранее доступное в App Store, связали с кражей примерно $23 тыс. у владельцев 27 Solana-кошельков. Для пользователей и команд, работающих с криптосервисами, это неприятное напоминание: прохождение модерации магазина не заменяет проверку происхождения приложения и модели работы с ключами.
Об инциденте сообщает BleepingComputer со ссылкой на блокчейн-исследователя Iris. По его данным, как минимум один пострадавший импортировал приватный ключ в поддельное iOS-приложение, после чего кошелёк был опустошён. Каким именно способом были скомпрометированы остальные 26 адресов, исследователь пока не установил, поэтому связывать каждый случай исключительно с приложением было бы преждевременно.
Поддельный Padre Terminal маскировался под торговый сервис для операций с мемкоинами в сети Solana. Настоящий Padre позднее получил название Terminal by pump.fun, однако легитимный сервис работает только в вебе. Следовательно, мобильные приложения, выдающие себя за этот продукт, по оценке Iris, следует считать вредоносными. Это важная деталь, которую легко пропустить: совпадающее название и аккуратная карточка в магазине создают ощущение официальности, хотя самого iOS-клиента у проекта нет.
К моменту публикации расследования вредоносное приложение исчезло из App Store: его страница стала недоступна. Но удаление карточки не остановило уже запущенную схему. Последняя зафиксированная кража произошла 29 октября в 17:06 UTC — уже после того, как приложение сняли с публикации. Если пользователь успел установить такой клиент и передать ему ключ, исчезновение приложения из поиска не возвращает контроль над кошельком.
Исследователь отследил похищенные активы до адреса Solana 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN. 29 октября атакующий обменял остававшиеся 4070 USDC на SOL, убрав возможность заморозки этих токенов со стороны Circle. Затем 192 SOL были переведены на новый адрес. На момент обновления Iris два связанных кошелька содержали в сумме 229,66 SOL, а признаков вывода средств в фиат или на известную площадку исследователь не увидел.
История не ограничивается одним названием. Iris обнаружил в App Store как минимум ещё четыре подозрительных приложения, использующих криптобренды: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools и Pump Fun Tokens & Analitycs. Их описания выглядели безобидно, но в отзывах пользователи жаловались на кражи активов. Например, у Axiom Pro: Focus было около 25 отзывов с подобными обвинениями с февраля; один из авторов утверждал, что приложение сначала изображало площадку для торговли мемкоинами, а затем превратилось в сервис для концентрации. Отзывы о GMGN AI и HyperTerminal-HyperliquidTools содержали заявления о потерях $2000 и $2020 соответственно.
Эти эпизоды сами по себе не равны техническому подтверждению кражи. Iris не верифицировал транзакции по всем четырём приложениям. Однако он нашёл на поддельном сайте Axiom скрипт с серверными адресами, связанными с имитацией брендов Axiom, Aster и GMGN. Это указывает на возможного общего оператора. Padre Terminal в этот кластер не вошёл. Скрипт сайта GMGN также блокировал посетителей из ряда стран СНГ — косвенный, но характерный признак того, что злоумышленники стараются ограничить нежелательное для себя внимание.
Для разработчиков криптопродуктов здесь есть вполне прикладной вывод: одной страницы в App Store недостаточно, чтобы пользователи понимали, какой клиент официальный. Если мобильного приложения нет, это нужно прямо и заметно указывать на сайте, в документации и официальных каналах. Если оно есть — публиковать прямую ссылку на карточку, название разработчика, домены поддержки и понятные правила, при которых продукт запрашивает доступ к кошельку. В противном случае вакансию в поисковой выдаче быстро займёт имитатор.
Командам безопасности и владельцам цифровых активов стоит считать импорт приватного ключа в новый торговый интерфейс операцией высокого риска. Официальная ссылка с сайта проекта, проверка издателя, возраста приложения и независимых отзывов — минимальная гигиена. Особенно подозрительны приложения с малым числом установок, короткой историей и именем разработчика, никак не связанным с брендом. Фальшивые криптоприложения используют привычку пользователей доверять магазину приложений, а не сложные технические уязвимости.
Apple пока публично не ответила на запрос издания о Padre Terminal и других подозрительных карточках. Подобный случай уже происходил в марте 2024 года: фальшивый кошелёк Leather появился в App Store, после подключений пользователи сообщали о потерях, а приложение удалили примерно через две недели вместе с блокировкой издателя. Главный открытый вопрос теперь не в том, появятся ли новые клоны, а в том, смогут ли площадки и криптопроекты быстрее выявлять их до того, как пользователь введёт ключ, который нельзя отозвать.
