DeFiLlama stracił kryptowaluty, by ujawnić fałszywą aplikację

Zespół DeFiLlama wgrał do tymczasowego portfela prawdziwe środki i zainstalował na iPhonie fałszywą aplikację dostępną w App Store. Po wpisaniu frazy seed aplikacja natychmiast opróżniła portfel. Firma Apple usunęła aplikację kilka dni po otrzymaniu dowodów kradzieży.

DeFiLlama to serwis śledzący środki zablokowane w protokołach zdecentralizowanych finansów, szeroko używany przez inwestorów. Fałszywa wersja aplikacji prosiła o frazę seed — 12 lub 24 słowa kontrolujące portfel — a następnie przejmowała dostęp do środków. Żadna legalna aplikacja portfelowa ani narzędzie analityczne nie wymaga podania takiej frazy.

Deweloperzy zgłaszali Apple naruszenia tożsamości i znaku towarowego przez kilka miesięcy bez efektu. Zespół postanowił zebrać dowody: załadowano mały portfel, pobrano podszywacz i udokumentowano kradzież, po czym przesłano materiał do Apple.

W poście na Twitterze 0xngmi opisano przebieg zdarzeń: «Przez miesiące próbowaliśmy usunąć fałszywą aplikację z App Store. Załadowaliśmy mały portfel, pobraliśmy aplikację, straciliśmy środki i zgłosiliśmy sprawę. Aplikacja zniknęła w kilka dni».

Autorzy oszustwa przeszli proces weryfikacji dewelopera Apple, rejestrując konto pod nazwą starego, małego sklepu obuwniczego, który już nie działał. DeFiLlama wskazało, że ta sama grupa tworzyła też klony innych znanych marek kryptowalutowych.

W kwietniu wykryto kilkadziesiąt fałszywych aplikacji portfelowych w sklepie Apple, w tym klony podszywające się pod popularne portfele. Fałszywe aplikacje i strony phishingowe prowadziły do utraty środków zarówno u pojedynczych użytkowników, jak i u osób publicznych; w jednym przypadku muzyk stracił niemal 6 bitcoinów po zaufaniu aplikacji pobranej z App Store. Inny klon phishingowy miał spowodować straty rzędu około 400 000 USD. Pod koniec lipca trzech posiadaczy Bitcoin pozwało Apple, twierdząc, że podrobiony wpis Sparrow Wallet kosztował ich 1,8 mln USD.

Specjaliści ds. bezpieczeństwa wskazują, że większość strat wynika z ataków phishingowych i złośliwych aplikacji, a nie z zaawansowanych naruszeń kryptograficznych. Fałszywe reklamy i podrobione strony ułatwiają oszustom dostęp do fraz seed i prywatnych kluczy.

DeFiLlama przez wiele miesięcy wstrzymywała publikację własnej aplikacji na iOS, by ograniczyć ryzyko, że użytkownicy pobiorą podszywacze. Opóźnienie wpłynęło na harmonogram rozwoju projektu. Apple usunęło konkretną aplikację po otrzymaniu dowodów kradzieży, a zespół DeFiLlama udostępnił publicznie opis zdarzenia i dokumentację przesłaną do Apple.