Фальшивое приложение Ledger в Mac App Store похищает 5,92 BTC с помощью схемы со seed-фразой

Мошенническое приложение «Fake Ledger app» появилось в Mac App Store от Apple и, по сообщениям, украло 5,92 BTC (~420 тыс. $) у музыканта Гарретта Даттона («G. Love»). При настройке нового компьютера «Fake Ledger app» попросило Даттона ввести 24-словную seed-фразу — действие, которое легитимное ПО Ledger не запрашивает ни на десктопе, ни на мобильных устройствах. Ончейн-следователь ZachXBT проследил кражу через девять транзакций; средства в конечном итоге были зачислены на адреса, связанные с KuCoin. Ledger вновь подчеркнула важный защитный момент: её официальное ПО не попросит seed-фразу в обычных рабочих процессах приложения. Последний отчёт также подтверждает, что это часть текущей волны фишинга на аппаратные кошельки, когда злоумышленники обводят проверки магазинов и подделывают официальные интерфейсы кошельков, чтобы перехватить seed и быстро обналичить средства. Для трейдеров это сигнал информационной безопасности, а не изменение протокола, но он может усилить краткосрочную склонность к уходу от риска в отношении self-custody и привлечь внимание к потокам депозитов на биржи после мошенничеств — особенно для BTC. Подобные случаи Fake Ledger app появлялись и ранее, в том числе поддельные версии Ledger Live, приведшие к крупным потерям.