Um golpe de criptografia se passando por aplicativo oficial de carteira de hardware Ledger Live passou no processo de revisão da App Store da Apple e drenou pelo menos US$ 9,5 milhões de mais de 50 vítimas em Bitcoin, Ethereum, Solana, Tron e XRP entre 7 e 13 de abril, com fundos roubados encaminhados através de mais de 150 endereços de depósito KuCoin e para um serviço de mixagem centralizado.

UM relatório sobre o roubo trouxe grande atenção ao incidente depois que ZachXBT publicou sua análise na rede. Uma das vítimas, postando no X sob o nome @glove, foi o músico da Filadélfia Garrett Dutton do G. Love and Special Sauce, que perdeu 5,92 BTC acumulados ao longo de uma década de poupança. “Trabalhei dez anos para isso”, escreveu ele. “Tenha cuidado lá fora.” Ele estava configurando sua carteira de hardware Ledger em um novo MacBook quando pesquisou Ledger Live na App Store e baixou o aplicativo de representação. A frase-semente que ele inseriu deu aos invasores acesso imediato.

O incidente não é sem precedentes. Um esquema de aplicativo Ledger falso quase idêntico roubou aproximadamente US$ 600.000 por meio da loja de aplicativos da Microsoft em 2023, usando o mesmo manual de personificação mais frase-semente.

O mecanismo que torna este ataque eficaz não é a sofisticação técnica. É confiança social. Os usuários que acessam a Apple App Store esperam razoavelmente que os aplicativos listados lá tenham sido revisados ​​e sejam legítimos. O falso aplicativo Ledger explorou essa confiança ao aparecer nos resultados da pesquisa por “Ledger Live” com uma marca convincente e um fluxo de configuração padrão. O processo de revisão da Apple, que rejeitou aplicativos criptográficos por razões políticas, aparentemente não detectou um aplicativo malicioso projetado para roubar fundos de usuários de carteiras de hardware que as próprias políticas de revisão da Apple os levaram a usar em primeiro lugar.

Por que frases iniciais e lojas de aplicativos são estruturalmente incompatíveis

Todo o modelo de segurança da carteira de hardware se baseia em uma regra: a frase-semente nunca toca um dispositivo conectado. O hardware físico gera a frase-semente off-line e assina as transações internamente, para que as chaves privadas nunca sejam expostas à Internet. No momento em que um usuário digita sua frase inicial em qualquer aplicativo, site ou teclado, a proteção da carteira de hardware é eliminada. Nenhum provedor legítimo de carteira, incluindo a Ledger, solicita uma frase-semente durante a configuração. Qualquer aplicativo que solicite um está com defeito ou é malicioso. Os especialistas em segurança recomendam baixar o Ledger Live apenas diretamente do ledger.com, nunca de qualquer loja de aplicativos.

O que acontece com fundos roubados e por que a recuperação é improvável

ZachXBT rastreou os fundos roubados por meio de nove transações em endereços de depósito KuCoin vinculados ao serviço de mixagem AudiA6. A KuCoin foi impedida de integrar novos usuários da UE pelos reguladores austríacos em fevereiro de 2026, apenas três meses após receber uma licença MiCA, e já pagou mais de US$ 300 milhões às autoridades dos EUA em 2025 para resolver violações de combate à lavagem de dinheiro. A recuperação exigiria uma ação coordenada de aplicação da lei e uma cooperação de intercâmbio voluntário que ZachXBT disse não esperar. O incidente motivou discussão de possíveis ações judiciais coletivas contra a Apple por responsabilidade da plataforma e reforça por que a criptografia segurança os especialistas alertam consistentemente contra o download de software de carteira de qualquer fonte que não seja o site oficial do fabricante.