Fałszywe aplikacje Ledger Live kradną krypto

Cyberprzestępcy wykorzystują fałszywe aplikacje Ledger Live oraz ataki typu phishing, aby ukraść tzw. seed phrases, uruchamiając złośliwe oprogramowanie, które niezauważenie opróżnia portfele kryptowalutowe na różnych platformach.

Cyberprzestępcy korzystają z fałszywych wersji Ledger Live – aplikacji służącej do zarządzania kryptowalutami w portfelach Ledger – aby kraść frazy seed i opróżniać konta użytkowników. Moonlock Lab ujawniło, że od sierpnia 2024 roku przynajmniej cztery aktywne kampanie malware zaatakowały Ledger Live poprzez ataki phishingowe.

Początkowo, fałszywe aplikacje mogły kradnąć jedynie notatki i dane portfela. Dziś jednak, manipulują użytkownikami, aby ci podali swoją 24-wyrazową frazę seed. Jedną z taktyk, widoczną w Atomic macOS Stealer (AMOS), jest fałszywy alert bezpieczeństwa, który prosi użytkowników o „weryfikację” swojej frazy seed. Po wpisaniu, jest ona bezpośrednio wysyłana do hakerów.

Zmiana rozpoczęła się od złośliwego oprogramowania „Odyssey” stworzonego przez hakera o imieniu Rodrigo. Według Moonlock, od marca 2025 r., Odyssey omija zabezpieczenia Ledger Live za pomocą strony phishingowej, która namawia użytkowników do wprowadzenia swojej frazy seed, aby naprawić „krytyczny błąd.”

Metoda Rodrigo wywołała reakcję łańcuchową. Inny haker, @mentalpositive, twierdzi, że ich złośliwe oprogramowanie teraz zawiera moduł „anti-Ledger”. Jednak dwa próbki ich kodu nie wykazały większych zmian – jedynie nowy adres serwera i zmiana nazwy z „JENYA” na „SHELLS”.

Tymczasem, nową kampanię odkryte przez Jamf Threat Labs skonstruowano z nie wykrywalnym instalatorem Mac, który ładuje fałszywy interfejs Ledger Live. Złodziej cicho podbiera hasła, pliki i dane portfela, korzystając z mixu Pythona i AppleScript.

AMOS również przyjęła schemat phishingowy Rodriga. Ofiary są wprowadzane w błąd, aby uruchomić plik terminalowy, który omija kontrole bezpieczeństwa Apple, umożliwiając działanie złośliwego oprogramowania. Jeśli wykryje prawdziwy system, a nie wirtualny, wysyła skradzione pliki i dane uwierzytelniające – w tym dane z Binance i TonKeeper – na zdalny serwer.

Wraz z coraz większą liczbą hakerów kopiujących ten podejście, użytkownikom kryptowalut zaleca się unikanie wprowadzania fraz seed do aplikacji lub wyskakujących okien.