45 Krypto-Wallets im App Store gefährden die Gelder ihrer Nutzer

• Igor Korsakov, CTO von BlueWallet, hat ein Universum von 494 Anwendungen im Store auditiert.
• Die Studie unterschied zwischen 23 kritischen Fällen und 22 Fällen mit hoher Schwere.

Eine technische Analyse von 494 Krypto-Wallets im App Store, die aus einem Gesamtuniversum von 904 als nicht verwahrend registrierten Anwendungen extrahiert wurden, hat ergeben, dass 45 von ihnen schwerwiegende Sicherheitsfehler enthalten.

Die Studie, die von Igor Korsakov, CTO von BlueWallet, durchgeführt wurde, identifizierte, dass fast jede zehnte audierte Anwendung auf iOS die Gelder der Nutzer exponiert. Der Bericht dokumentiert andere spezifische Angriffsvektoren im Apple Store:

• Übertragung von geheimen Phrasen, mnemonischen Seeds und privaten Schlüsseln an Remote-Datenbanken wie Firestore, Heroku oder externe Domains. Unter den exponierten Fällen sticht Aura: Bitcoin Wallet hervor, dessen öffentlicher Code auf GitHub eine lokale Ausführung vorschlägt, aber dessen kommerzieller Binärcode auf iOS die Wiederherstellungsdaten an den Server coffer.agency sendet.

• Schlechte Verschlüsselung: Erstellung von Seed-Phrasen auf zentralisierten Servern und Verwendung vorhersehbarer mathematischer Funktionen (wie Math.random für den BIP39-Standard), wodurch die notwendige Entropie für die Sicherheit der Wallet eliminiert wird.

• Remote-Ausführung: Unsigned JavaScript-Module, die von externen Servern geladen werden, ohne zu überprüfen, ob sie von einem Angreifer verändert wurden.

In der Praxis machen diese Mängel das grundlegende Versprechen der Selbstverwahrung zunichte: die exklusive Kontrolle über digitale Vermögenswerte. Bei der Verwendung einer dieser anfälligen Anwendungen sind die geheimen Schlüssel der Nutzer, das Äquivalent zu den Zugangsschlüsseln zu einem Safe, unbefugt gegenüber Übertragungen an externe Server exponiert.

Darüber hinaus ermöglicht die Generierung von Wiederherstellungsphrasen durch vorhersehbare mathematische Formeln Dritten, die Zugangskombinationen zu berechnen oder zu erraten, was die Tür für das Remote-Leeren der Gelder öffnet, ohne dass die Eigentümer eingreifen müssen.

<<Es kann falsche Positivmeldungen geben, und dass eine App nicht in der Liste erscheint, bedeutet nicht, dass sie 100 % sicher ist>>, stellte Korsakov in seinem Bericht auf kek.lol klar.

Um das Universum von 904 registrierten Wallets zu auditieren, extrahierte Korsakov die Anwendungs-Pakete mit dem Tool ipatool und führte eine statische Codeinspektion durch, die sich auf JavaScript konzentrierte und durch das Modell Grok 4.6 xhigh unterstützt wurde.
Der Bericht von Korsakov klassifiziert 23 Krypto-Wallets als kritisch und 22 mit hoher Vulnerabilität. Bild erstellt mit Gemini.

Die reale Auswirkung: Was bedeuten diese Fehler für die Nutzer?

Die Entdeckung wirft erneut Fragen zur Sicherheitsüberprüfung von Apple auf. Obwohl der App Store eine geschlossene und sichere Umgebung verspricht, ist es nicht das erste Mal, dass seine Kontrollen versagen.

Im Mai 2026 entdeckte die Firma Kaspersky 26 gefälschte Apps auf iOS, die sich als bekannte Marken wie MetaMask und Coinbase ausgaben. Apple sieht sich rechtlichen Klagen gegenüber, nachdem eine gefälschte App von Sparrow Wallet den Diebstahl von 1,8 Millionen Dollar in Bitcoin verursachte.

Bis jetzt hat sich Apple nicht zu dem Rückzug der beanstandeten Anwendungen geäußert.

Der Bericht belebt die Diskussion über die Fragilität von Einmal-Signaturlösungen in mobilen Internetumgebungen. Angesichts der Verwundbarkeit großer App-Stores empfiehlt die technische Empfehlung:

• Verwenden Sie die mobile App nur zur Abfrage: Richten Sie die Wallet des Telefons nur ein, um Transaktionen vorzubereiten und den Saldo zu sehen, ohne die geheimen Schlüssel auf dem Gerät zu speichern.

• Verwenden Sie die App des Handys nur zur Abfrage: Speichern Sie die geheimen Schlüssel nicht auf dem Telefon. Richten Sie die mobile Wallet nur ein, um Transaktionen vorzubereiten und den Saldo zu sehen, und verlangen Sie, dass die endgültige Genehmigung (die Signatur) immer von einem physischen Gerät erfolgt, das nicht mit dem Internet verbunden ist (wie Keystone oder Foundation Devices).

Der Forscher Korsakov warnt vor den Risiken, ein einzelnes Gerät zur Verwahrung von Geldern zu verwenden, und empfiehlt die Annahme von Multisignatur-Schemata zum Schutz digitaler Vermögenswerte. Quelle: X / overtorment.

In jedem Fall ist auch zu berücksichtigen, dass die jüngsten Enthüllungen über den App Store bestätigen, dass die Sicherheit im Bitcoin- und Krypto-Ökosystem eine kritische Phase durchläuft, die durch die Multiplikation von Angriffsvektoren gekennzeichnet ist.

Dennoch deckt die Analyse von Igor Korsakov eine neue Dynamik in der Cybersicherheit auf, wie die Verwendung von Künstlicher Intelligenz wie Grok 4.6 xhigh zur Überprüfung von Hunderten von Anwendungen in Rekordzeit.

Diese gleiche Automatisierungsfähigkeit, die es unabhängigen Forschern heute ermöglicht, versteckte Fehler in großem Maßstab zu erkennen, wird auch von böswilligen Akteuren genutzt, um ihre betrügerischen Angebote zu perfektionieren, Malware zu automatisieren und Code-Lücken mit beispielloser Geschwindigkeit zu finden.

Daher steht der Kampf um die digitale Verwahrung nicht nur zwischen Nutzern und Cyberkriminellen, sondern auch zwischen zwei Seiten der KI in einem ständigen Wettlauf, um dem nächsten Sicherheitsfehler zuvorzukommen.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.