45 Dompet Kripto di App Store Membahayakan Dana Penggunanya

• Igor Korsakov, CTO BlueWallet, mengaudit 494 aplikasi di toko.
• Studi ini membedakan tingkat ancaman dalam 23 kasus kritis dan 22 dengan tingkat keparahan tinggi.

Sebuah analisis teknis terhadap 494 dompet kripto di App Store, yang diambil dari total 904 aplikasi yang terdaftar sebagai non-kustodian, mengungkapkan bahwa 45 di antaranya mengandung celah keamanan yang serius.

Studi yang dilakukan oleh Igor Korsakov, CTO BlueWallet, mengidentifikasi bahwa hampir 1 dari 10 aplikasi yang diaudit di iOS mengekspos dana pengguna. Laporan ini mendokumentasikan vektor serangan konkret lainnya di toko Apple:

• Pengiriman frasa rahasia, benih mnemonik, dan kunci pribadi ke basis data jarak jauh seperti Firestore, Heroku, atau domain eksternal. Di antara kasus yang terungkap, Aura: Bitcoin Wallet menonjol, di mana kode publiknya di GitHub menyarankan eksekusi lokal, tetapi biner komersialnya di iOS mengirim data pemulihan ke server coffer.agency.

• Enkripsi yang buruk: pembuatan frasa benih di server terpusat dan penggunaan fungsi matematis yang dapat diprediksi (seperti Math.random untuk standar BIP39), menghilangkan entropi yang diperlukan agar dompet tetap aman.

• Eksekusi jarak jauh: modul JavaScript yang tidak ditandatangani dimuat dari server eksternal tanpa memverifikasi apakah telah diubah oleh penyerang.

Dalam praktiknya, kekurangan ini membatalkan janji dasar dari auto-kustodian: kontrol eksklusif atas aset digital. Dengan menggunakan salah satu aplikasi rentan ini, kunci rahasia pengguna, yang setara dengan kunci akses ke brankas, terpapar pada transmisi yang tidak sah ke server eksternal.

Selain itu, pembuatan frasa pemulihan menggunakan rumus matematis yang dapat diprediksi memungkinkan pihak ketiga untuk menghitung atau menebak kombinasi akses, membuka pintu untuk pengosongan jarak jauh dana tanpa memerlukan interaksi dari pemilik.

<<Mungkin ada positif palsu dan bahwa sebuah aplikasi tidak muncul dalam daftar tidak berarti itu 100% aman>>, jelas Korsakov dalam laporannya yang dipublikasikan di kek.lol.

Untuk mengaudit total 904 dompet yang terdaftar, Korsakov mengekstrak paket aplikasi menggunakan alat ipatool dan melakukan inspeksi statis kode, berfokus pada JavaScript, didukung oleh model Grok 4.6 xhigh.
Laporan Korsakov mengklasifikasikan 23 dompet kripto sebagai kritis dan 22 dengan kerentanan tinggi. Gambar dibuat menggunakan Gemini.

Dampak Nyata: Apa Arti Kekurangan Ini bagi Pengguna?

Temuan ini kembali mempertanyakan tinjauan keamanan Apple. Meskipun App Store menjanjikan lingkungan yang tertutup dan aman, ini bukan pertama kalinya kontrol mereka gagal.

Pada Mei 2026, firma Kaspersky mendeteksi 26 aplikasi palsu di iOS yang menyamar sebagai merek terkenal seperti MetaMask dan Coinbase. Apple menghadapi tuntutan hukum setelah munculnya aplikasi palsu Sparrow Wallet yang menyebabkan pencurian 1,8 juta dolar dalam Bitcoin.

Hingga saat ini, Apple belum memberikan pernyataan tentang penarikan aplikasi yang ditunjuk.

Laporan ini menghidupkan kembali diskusi tentang kerentanan solusi tanda tangan tunggal di lingkungan seluler yang terhubung ke Internet. Menghadapi kerentanan dari toko aplikasi besar, rekomendasi teknis menyarankan:

• Gunakan aplikasi seluler hanya untuk konsultasi: Atur dompet di ponsel hanya untuk menyiapkan transaksi dan melihat saldo, tanpa menyimpan kunci rahasia di perangkat.

• Gunakan aplikasi ponsel hanya untuk konsultasi: jangan simpan kunci rahasia di ponsel. Atur dompet seluler hanya untuk menyiapkan transaksi dan melihat saldo, dan pastikan bahwa otorisasi akhir (tanda tangan) selalu dilakukan dari perangkat fisik yang tidak terhubung ke internet (seperti Keystone atau Foundation Devices).

Peneliti Korsakov memperingatkan tentang risiko menggunakan satu perangkat untuk menyimpan dana dan merekomendasikan adopsi skema multifirma untuk melindungi aset digital. Sumber: X / overtorment.

Dalam hal apapun juga perlu diperhatikan bahwa pengungkapan terbaru tentang App Store mengonfirmasi bahwa keamanan dalam ekosistem bitcoin dan kripto sedang berada dalam tahap kritis, ditandai dengan peningkatan vektor serangan.

Namun, analisis Igor Korsakov mengungkapkan dinamika baru dalam keamanan siber seperti penggunaan kecerdasan buatan seperti Grok 4.6 xhigh untuk mengaudit ratusan aplikasi dalam waktu singkat.

Kemampuan otomatisasi yang sama yang memungkinkan peneliti independen mendeteksi celah tersembunyi dalam skala besar adalah yang digunakan oleh aktor jahat untuk menyempurnakan penawaran menipu mereka, mengotomatiskan pembuatan malware, dan menemukan celah kode dengan kecepatan yang belum pernah terjadi sebelumnya.

Oleh karena itu, pertempuran untuk kustodian digital tidak hanya melibatkan pengguna dan penjahat siber, tetapi juga dua wajah AI dalam perlombaan konstan untuk mendahului kesalahan keamanan berikutnya.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.