L'équipe de DeFiLlama a chargé un portefeuille avec de la vraie crypto, l'a remis à une version contrefaite de sa propre application et a vu l'argent disparaître. Apple a supprimé la liste frauduleuse quelques jours plus tard.
Des mois de plaintes concernant des marques déposées et des usurpations d’identité n’ont abouti à rien. Seul le vol documenté a ému les évaluateurs d'Apple, selon un article du développeur DeFiLlama 0xngmi.
Comment la fausse application DeFiLlama a vidé un vrai portefeuille
DeFiLlama suit les capitaux bloqués dans les protocoles de finance décentralisée (DeFi), et les traders traitent ses tableaux de bord comme point de référence. Cette confiance a rendu la marque digne d’être copiée.
Le clone était grossier. Il a simplement demandé aux utilisateurs de saisir leur phrase de départ (les 12 ou 24 mots qui contrôlent un portefeuille), puis de vider tout ce qu'il a trouvé.
Aucun portefeuille ou application d'analyse légitime ne demande jamais cette phrase. Cependant, un badge App Store confère le genre de crédibilité qu’un site Web de phishing ne peut pas acheter, c’est pourquoi les exploits du portefeuille iPhone continuent de s’avérer payants pour les attaquants.
Les opérateurs ont également passé en revue les contrôles d'identité d'Apple. Ils ont enregistré le compte développeur en utilisant un petit magasin de chaussures constitué il y a 40 ans et dissous depuis longtemps, a déclaré 0xngmi. Le même groupe a ciblé d’autres grandes marques de cryptographie.
L’équipe a donc arrêté de déposer des rapports et a plutôt monté un dossier. Ils ont financé un portefeuille jetable, installé la fausse application, saisi la phrase, perdu les pièces et envoyé les preuves à Apple. La liste a disparu en quelques jours.
Abonnez-vous à notre chaîne YouTube pour voir les dirigeants et les journalistes fournir des avis d'experts
Le processus de révision fait face à une pression croissante
Ce cas n’est pas isolé. Kaspersky a dénombré 26 applications de portefeuille frauduleuses sur l'App Store en avril, dont plusieurs usurpant l'identité de Ledger, MetaMask et Trust Wallet, selon ses recherches.
Les victimes sont rarement négligentes. En avril, une fausse application Ledger a coûté au musicien G. Love près de 6 BTC après avoir fait confiance à un téléchargement de l'App Store. Les sites Web Copycat fonctionnent de la même manière, et un clone de phishing Uniswap a coûté environ 400 000 $ aux traders en mai.
Pendant ce temps, trois détenteurs de Bitcoin ont poursuivi Apple fin juillet pour une contrefaçon de Sparrow Wallet qui, selon eux, leur aurait coûté au total 1,8 million de dollars.
L’écart en matière d’incitation semble donc flagrant. Les marques absorbent les dommages à leur réputation, les utilisateurs absorbent les pertes et le magasin continue de percevoir des frais.
Les équipes de sécurité continuent de signaler le même point faible. Le responsable de la sécurité de Binance a récemment fait valoir que le phishing et les logiciels malveillants, et non les attaques cryptographiques exotiques, sont aujourd'hui ce qui draine les portefeuilles. Les fausses publicités et les sites usurpés, y compris une récente campagne de phishing Trezor, renforcent ce point.
DeFiLlama a retenu sa propre version iOS pendant des mois afin qu'aucun utilisateur ne s'empare d'un imposteur en premier. Cette prudence a coûté du temps et de l’élan au projet. Le fait que les équipes rivales copient désormais le manuel de drain-yourself en dit plus sur le processus d'Apple que sur la cryptographie.
Le message DeFiLlama a sacrifié la vraie crypto pour forcer Apple à agir est apparu en premier sur BeInCrypto.
Voir l’article original en anglais
