45 portfeli kryptowalutowych w App Store zagraża funduszom użytkowników

• Igor Korsakov, CTO BlueWallet, przeanalizował 494 aplikacje w sklepie.
• Badanie zróżnicowało poziom zagrożenia w 23 przypadkach krytycznych i 22 o wysokiej wadze.

Analiza techniczna 494 portfeli kryptowalutowych w App Store, wyciągniętych z całkowitego zbioru 904 aplikacji zarejestrowanych jako niekustodialne, ujawniła, że 45 z nich zawiera poważne błędy bezpieczeństwa.

Badanie, przeprowadzone przez Igora Korsakova, CTO BlueWallet, zidentyfikowało, że prawie 1 na 10 audytowanych aplikacji na iOS naraża fundusze użytkowników. Raport dokumentuje inne konkretne wektory ataku w sklepie Apple:

• Wysyłanie fraz tajnych, nasion mnemotechnicznych i kluczy prywatnych do zdalnych baz danych, takich jak Firestore, Heroku lub zewnętrzne domeny. Wśród ujawnionych przypadków wyróżnia się Aura: Bitcoin Wallet, którego publiczny kod na GitHubie sugeruje lokalne wykonanie, ale jego komercyjny binarny w iOS wysyła dane odzyskiwania do serwera coffer.agency.

• Słabe szyfrowanie: tworzenie fraz nasion na scentralizowanych serwerach i używanie przewidywalnych funkcji matematycznych (takich jak Math.random dla standardu BIP39), eliminując entropię niezbędną do zapewnienia bezpieczeństwa portfela.

• Zdalne wykonanie: niesigned JavaScript modules ładowane z zewnętrznych serwerów bez weryfikacji, czy zostały zmienione przez atakującego.

W praktyce te niedociągnięcia unieważniają fundamentalną obietnicę samo-kustodii: wyłączną kontrolę nad aktywami cyfrowymi. Korzystając z jednej z tych podatnych aplikacji, klucze tajne użytkowników, równoważne kluczom dostępu do sejfu, są narażone na nieautoryzowane transmisje do zewnętrznych serwerów.

Ponadto, generowanie fraz odzyskiwania za pomocą przewidywalnych formuł matematycznych pozwala osobom trzecim na obliczenie lub odgadnięcie kombinacji dostępu, otwierając drzwi do zdalnego opróżnienia funduszy bez wymagania interakcji właścicieli.

<<Mogą wystąpić fałszywe pozytywy, a brak aplikacji na liście nie oznacza, że jest 100% bezpieczna>>, wyjaśnił Korsakov w swoim raporcie opublikowanym na kek.lol.

Aby przeprowadzić audyt zbioru 904 zarejestrowanych portfeli, Korsakov wyciągnął pakiety aplikacji za pomocą narzędzia ipatool i przeprowadził statyczną inspekcję kodu, skupioną na JavaScript, wspieraną przez model Grok 4.6 xhigh.
Raport Korsakova klasyfikuje 23 portfeli kryptowalutowych jako krytyczne i 22 z wysoką podatnością. Obraz stworzony przy użyciu Gemini.

Rzeczywisty wpływ: co te błędy oznaczają dla użytkowników?

Odkrycie ponownie podważa przegląd bezpieczeństwa Apple. Chociaż App Store obiecuje zamknięte i bezpieczne środowisko, nie jest to pierwszy raz, gdy zawiodły ich kontrole.

W maju 2026 roku firma Kaspersky wykryła 26 fałszywych aplikacji na iOS, które podszywały się pod znane marki, takie jak MetaMask i Coinbase. Apple stoi w obliczu pozwów prawnych po pojawieniu się fałszywej aplikacji Sparrow Wallet, która spowodowała kradzież 1,8 miliona dolarów w Bitcoinie.

Do tej pory Apple nie wypowiedziało się na temat wycofania wskazanych aplikacji.

Raport wznawia dyskusję na temat kruchości rozwiązań jednego podpisu w mobilnych środowiskach podłączonych do Internetu. W obliczu podatności dużych sklepów z aplikacjami, zalecenie techniczne sugeruje:

• Używaj aplikacji mobilnej tylko do przeglądania: skonfiguruj portfel telefonu tylko do przygotowywania transakcji i przeglądania salda, nie przechowując kluczy tajnych na urządzeniu.

• Używaj aplikacji mobilnej tylko do przeglądania: nie przechowuj kluczy tajnych na telefonie. Skonfiguruj portfel mobilny tylko do przygotowywania transakcji i przeglądania salda, a autoryzacja końcowa (podpis) powinna być zawsze dokonywana z fizycznego urządzenia odłączonego od internetu (takiego jak Keystone lub Foundation Devices).

Badacz Korsakov ostrzega przed ryzykiem korzystania z jednego urządzenia do przechowywania funduszy i zaleca przyjęcie schematów wielopodpisowych w celu ochrony aktywów cyfrowych. Źródło: X / overtorment.

W każdym razie należy również pamiętać, że ostatnie ujawnienia dotyczące App Store potwierdzają, że bezpieczeństwo w ekosystemie bitcoina i kryptowalut przechodzi krytyczny etap, charakteryzujący się mnożeniem wektorów ataku.

Jednak analiza Igora Korsakova ujawnia nową dynamikę w cyberbezpieczeństwie, jaką jest wykorzystanie sztucznej inteligencji, takiej jak Grok 4.6 xhigh, do audytowania setek aplikacji w rekordowym czasie.

Ta sama zdolność automatyzacji, która dzisiaj pozwala niezależnym badaczom wykrywać ukryte błędy na dużą skalę, jest również wykorzystywana przez aktorów złośliwych do doskonalenia swoich oszukańczych ofert, automatyzacji tworzenia złośliwego oprogramowania i znajdowania luk w kodzie w niespotykanym dotąd tempie.

Dlatego walka o cyfrową kustodię nie dotyczy już tylko użytkowników i cyberprzestępców, ale dwóch obliczy AI w nieustannej rywalizacji o wyprzedzenie następnej luki w bezpieczeństwie.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.