Selama bertahun-tahun, banyak pengguna iPhone berasumsi bahwa selama semuanya diunduh dari App Store, risiko malware hampir tidak ada. Namun, sebuah Kampanye penipuan baru terkait dengan aplikasi mata uang kripto palsu Hal ini menunjukkan bahwa kepercayaan ini dapat menjadi bumerang, bahkan dalam ekosistem yang tertutup seperti iOS.
Menurut riset Kaspersky, setidaknya Sebanyak 26 aplikasi berbahaya berhasil melewati filter peninjauan Apple. dengan menyamar sebagai dompet mata uang kripto terkenal. Tujuan utamanya adalah mencuri frasa kunci (seed phrase), kunci pribadi, dan data sensitif lainnya untuk mengambil kendali atas dana digital korban, terlepas dari negara tempat tinggal mereka. Menurut Kaspersky, kasus ini mempertanyakan efektivitas Filter ulasan Apple dalam kampanye-kampanye canggih tertentu.
26 aplikasi cryptocurrency palsu menyusup ke App Store
Investigasi yang dilakukan oleh tim Riset Ancaman Kaspersky mengungkap sebuah kampanye yang, menurut data mereka, Program ini telah aktif sejak akhir tahun 2025.Selama periode tersebut, sekelompok pengembang yang terkait dengan aktor yang berhubungan dengan SparkKitty diduga menerbitkan beberapa aplikasi yang tampaknya tidak berbahaya di App Store, tetapi aplikasi-aplikasi ini dirancang sebagai bagian dari skema phishing tingkat lanjut.
Masing-masing dari 26 aplikasi ini Aplikasi tersebut menyamar sebagai dompet mata uang kripto. Penyebarannya meluas, dengan meniru nama, ikon, dan estetika secara umum. Daftar layanan yang terpengaruh meliputi, antara lain:
- MetaMask
- Dompet Ledger
- Dompet Kepercayaan
- Dompet Coinbase
- Saku Token
- imToken
- Bitpie
Bagi pengguna awam, kemiripannya lebih dari sekadar wajar: nama yang hampir identik dan logo yang sangat mirip Hal ini sudah cukup bagi banyak orang untuk menerima unduhan tersebut sebagai valid, dengan keyakinan bahwa, karena berasal dari App Store, itu pasti perangkat lunak yang sah.
Meskipun kampanye tersebut memiliki target audiens spesifik yang tertarik pada mata uang kripto, Kaspersky menekankan bahwa Aplikasi-aplikasi tersebut tidak memiliki batasan regional.Dengan kata lain, setiap pengguna yang memiliki akses ke Apple Store—baik di Spanyol, negara Eropa lainnya, atau di mana pun di dunia—dapat menemukan salah satu aplikasi ini dan menjadi korban jika mereka menyelesaikan semua langkah penipuan tersebut.
Aplikasi utama: game, kalkulator, dan daftar tugas sebagai umpan.
Salah satu kunci keberhasilan operasi ini adalah terciptanya sebuah tampilan fungsionalitas normalJauh dari sekadar ikon kosong, banyak aplikasi mencurigakan yang disertakan antara lain:
- Game kasual kecil
- Kalkulator dasar
- Daftar tugas dan utilitas sederhana
Fitur-fitur semacam ini membantu aplikasi tersebut tampak sah pada pandangan pertama. Tidak ada yang menunjukkan bahwa di balik lapisan yang tidak berbahaya itu terdapat sesuatu. Tersembunyi di dalamnya terdapat mekanisme yang dirancang untuk mengarahkan pengguna ke langkah kedua yang jauh lebih berbahaya.
Momen kritis terjadi saat membuka aplikasi. Alih-alih langsung menawarkan layanan dompet, aplikasi tersebut Mereka dialihkan ke situs web yang meniru desain App Store.Di sana, pengguna diajak untuk mengunduh versi dompet mata uang kripto yang dianggap "lengkap", "terbaru", atau "diperlukan".
Pengalihan ini adalah awal sebenarnya dari serangan tersebut. Bagi banyak pengguna yang terbiasa dengan antarmuka yang rapi dan seragam, peniruan toko resmi cukup meyakinkan untuk menurunkan tingkat kewaspadaan mereka.
Jebakan Profil Pengembang iOS
Trik teknis paling rumit dalam kampanye tersebut terdiri dari: manfaatkan alat-alat yang sah dari ekosistem Apple, yang awalnya dirancang untuk bisnis dan pengembang.
Alih-alih mengunduh malware langsung dari App Store, halaman palsu tersebut meminta pengguna untuk mengizinkan pemasangan “profil pengembang” atau profil perusahaan di iPhone Anda. Jenis profil ini secara sah digunakan untuk mendistribusikan aplikasi internal di lingkungan bisnis, di luar toko resmi.
Masalahnya adalah, ketika seseorang tidak terbiasa dengan cara kerjanya, pemberitahuan itu biasanya tampak seperti persyaratan teknis biasa saja. Dengan menerima profil tersebut, perangkat dikonfigurasi untuk menginstal aplikasi eksternal. tanpa pemeriksaan App Store yang biasa dan dengan peringatan yang lebih sedikit terlihat.
Sejak saat itu, panggung telah disiapkan: pengguna kemudian menginstal apa yang mereka yakini sebagai dompet resmi—MetaMask, Ledger, Trust Wallet, dll.—tetapi pada kenyataannya, itu adalah dompet palsu. Versi modifikasi dengan Trojan terintegrasi.
Bagaimana mereka mencuri frasa sandi dan kunci pribadi
Tujuan dari aplikasi yang dipalsukan ini sangat jelas: Mengumpulkan informasi penting yang memberikan akses ke dana tersebut.Di dunia kripto, informasi ini sebagian besar terkonsentrasi pada frasa kunci (seed phrase) dan kunci pribadi (private key) yang terkait dengan setiap dompet.
Kaspersky menjelaskan bahwa perilaku malware tersebut beradaptasi dengan jenis dompet digital yang ditirunya. Menyerang dompet panas yang terhubung ke internet tidak sama dengan menyerang dompet dingin fisik. Kampanye ini menargetkan kedua pendekatan tersebut.
Dalam dompet panas —yang digunakan dari perangkat seluler itu sendiri atau dari peramban—, Trojan tersebut berfokus pada pencegatan proses pembuatan atau pemulihan akun. Ketika pengguna memasukkan frasa kunci untuk memulihkan dompet mereka, aplikasi palsu tersebut Sistem tersebut memantau dan mengirimkan data itu kepada para penyerang..
Dengan informasi tersebut, para penjahat siber dapat memulihkan dompet digital di perangkat lain, tanpa perlu mengakses iPhone korban secara fisik, dan kemudian mentransfer semua dana ke alamat yang dikendalikan oleh mereka.
Serangan juga menargetkan dompet dingin seperti Ledger.
Dalam kasus dompet dinginMeskipun dianggap sebagai pilihan teraman untuk menyimpan mata uang kripto dalam jangka panjang, taktik yang digunakan berbeda namun sama berbahayanya.
Layanan seperti Ledger menggabungkan aplikasi seluler—misalnya, Ledger Wallet—dengan perangkat keras yang menyimpan kunci pribadi secara offline. Dalam model ini, aplikasi hanya berfungsi sebagai antarmuka, sementara komponen keamanan yang penting berada di perangkat fisik.
Fitur utama adalah Aplikasi Ledger yang sah seharusnya tidak pernah meminta frasa kunci (seed phrase). Setelah perangkat dikonfigurasi, frasa tersebut dimasukkan ke dalam perangkat keras itu sendiri, bukan ke dalam ponsel.
Aplikasi palsu yang terdeteksi oleh Kaspersky memanfaatkan hal ini: melalui teknik phishing, Mereka meminta pengguna untuk memasukkan frasa sandi mereka. untuk proses verifikasi, sinkronisasi, atau dukungan yang seharusnya dilakukan. Jika orang tersebut tertipu dan memasukkan frasa pemulihan mereka, perisai keamanan utama dompet dingin tersebut dinonaktifkan.
Sekali lagi, yang dibutuhkan hanyalah frasa itu agar para penyerang dapat Pulihkan dompet di perangkat lain dan memindahkan semua aset tanpa kemungkinan nyata untuk membalikkan transaksi tersebut.
Kampanye global tanpa batas geografis
Salah satu unsur yang paling meresahkan dari kasus ini adalah bahwa Tidak ada batasan geografis yang jelas. dalam distribusi aplikasi-aplikasi ini. Meskipun operasi ini ditujukan untuk segmen pengguna yang sudah familiar dengan mata uang kripto, penerbitan melalui App Store membuat potensi jangkauannya menjadi global.
Kaspersky mengingatkan pengguna bahwa aplikasi palsu dapat diunduh dari negara mana pun tempat Apple Store beroperasiBagi pengguna di Spanyol atau negara-negara Uni Eropa lainnya, ini berarti bahwa hanya dengan menggunakan iPhone saja tidak membuat mereka lebih aman dari jenis penipuan ini.
Perusahaan keamanan tersebut mengklaim bahwa Semua kasus yang teridentifikasi telah dilaporkan ke Apple. untuk penghapusannya. Namun, penelitian tersebut menggarisbawahi bahwa tidak adanya pembatasan regional membuat jenis kampanye ini menjadi risiko lintas sektor yang memengaruhi hampir semua pasar tempat adopsi mata uang kripto ada.
Mengapa penipuan ini menimbulkan begitu banyak kekhawatiran di ekosistem kripto?
Di luar kerugian finansial individu, insiden ini menggambarkan pergeseran cara penjahat siber beroperasi. Ini bukan lagi hanya tentang email dengan tautan aneh atau situs web yang ditulis dengan buruk. Sekarang tujuannya adalah manfaatkan kepercayaan yang dibangun oleh platform resmi, seperti App Store, untuk mengurangi kewaspadaan pengguna.
Mengunduh aplikasi dari Apple Store sering dikaitkan dengan jaminan kualitas dan keamanan tertentu. Persepsi psikologis inilah yang dimanfaatkan oleh kampanye-kampanye ini: jika sesuatu ada di App Store, banyak orang berasumsi bahwa aplikasi tersebut telah melewati pemeriksaan ketat dan mereka menjadi lengah.
Seiring dengan itu, kebangkitan ekosistem kripto di Eropa dan seluruh dunia telah mengubah dompet digital menjadi sebuah target prioritas bagi penyerangBerbeda dengan transfer bank tradisional, transaksi blockchain umumnya tidak dapat dibatalkan. Jika uang telah keluar dari dompet, memulihkannya hampir tidak mungkin.
Insiden semacam ini menambah tekanan pada kedua belah pihak. penyedia dompet sebagai platform seperti Appleyang dipaksa untuk memperkuat proses peninjauan merekaAutentikasi pengembang dan deteksi pola mencurigakan seputar aplikasi keuangan.
Tips penting untuk menghindari jebakan aplikasi cryptocurrency palsu
Sebagai hasil investigasi, Kaspersky telah menerbitkan serangkaian panduan dasar yang dapat membantu menghindari penipuan serupa, terutama relevan bagi pengguna di Eropa yang mengelola sebagian aset mereka dalam mata uang kripto dari ponsel mereka.
Di antara rekomendasi yang paling sering diulang adalah beberapa gagasan yang, meskipun mungkin tampak seperti akal sehat, Hak-hak mereka terus menerus dilanggar dalam kehidupan sehari-hari.:
- Waspadalah terhadap tautan internal.Jika sebuah aplikasi tiba-tiba mengarahkan Anda ke situs web eksternal untuk mengunduh aplikasi lain atau pembaruan, anggap itu sebagai tanda peringatan.
- Jangan instal profil yang tidak dikenalHindari menerima profil konfigurasi, sertifikat, atau izin pengembang jika tidak berasal dari sumber perusahaan yang terverifikasi (misalnya, departemen TI perusahaan Anda).
- Jaga baik-baik frasa kuncinyaDompet digital yang sah seharusnya tidak meminta kata sandi pemulihan Anda secara tiba-tiba atau di luar proses pengaturan awal.
- Periksa pengembang resminya.Sebelum menginstal aplikasi mata uang kripto, periksa nama pembuatnya, situs web terkait, dan peringkat dari pengguna lain.
- Jangan bagikan data sensitif. (kata sandi, kode pemulihan, kunci pribadi) pada formulir atau situs web yang belum Anda verifikasi secara menyeluruh.
Perusahaan tersebut juga menyarankan untuk mengandalkan solusi keamanan khusus yang membantu mengidentifikasi situs web palsu dan memblokir upaya phishing terkait layanan keuangan dan mata uang kripto. Meskipun penggunaan antivirus tidak seluas di iOS seperti pada sistem lain, jenis kampanye ini kembali membuka perdebatan tentang sejauh mana lapisan perlindungan tambahan diperlukan.
Kasus 26 aplikasi palsu di App Store menunjukkan bahwa bahkan lingkungan yang paling terkontrol pun tidak bebas risiko.Para penyerang terus menyempurnakan teknik mereka, memanfaatkan alat-alat perusahaan yang sah, dan merancang proses langkah demi langkah agar semuanya tampak normal hingga saat-saat terakhir. Dalam konteks di mana semakin banyak pengguna di Spanyol dan Eropa mengelola mata uang kripto dari ponsel mereka, tetap waspada terhadap profil pengembang, permintaan frasa sandi, dan pengalihan yang mencurigakan telah menjadi lebih dari sekadar rekomendasi—ini adalah kebutuhan mendasar untuk melindungi mata uang digital Anda.
