872
2026-04-14
1分
蘋果應用商店上架假 Ledger，一週騙走 950 萬美元加密貨幣
Apple 向來以 App Store 嚴格審核為賣點，但一款冒充 Ledger Live 的假錢包 App 卻成功上架 Mac App Store 長達 7 天。開發者「Leva Heal Limited」偽造版本歷史從 1.0 灌到 5.0、仿製官方介面，誘導使用者輸入 24 字助記詞後，自動化腳本在 BTC、ETH、SOL、TRX、XRP 五條鏈上瞬間提領。
4 月 7 至 13 日間超過 50 人受害，共損失約 950 萬美元，單筆最高 323 萬美元 USDT。音樂人 G. Love 的 5.9 BTC 退休積蓄也全數被盜。資金經俄系混幣服務 AudiA6 和 KuCoin 的 150 多個地址洗出，目前追回困難。此案已成為 Kapil et al. v. Apple 集體訴訟的關鍵證據，挑戰「圍牆花園」的安全承諾。
- ZachXBT假 Ledger App 調查：追蹤 $950 萬被盜資金流向
- CoinDesk假 Ledger App 在蘋果應用商店騙走 $950 萬加密貨幣
- The Block假 Ledger App 在蘋果應用商店與 $950 萬加密貨幣竊盜案相關
- Decrypt假 Ledger App 從持幣者竊取數百萬美元，包括音樂人 G. Love
- DL NewsApple 在假 Ledger 錢包事件後打擊非法 App
- 9to5MacApple 下架假 Ledger App，App Store 審核機制再受質疑
- AppleInsiderApp Store 上的假加密錢包竊取 $950 萬
- MacRumorsApple 移除從 Mac 使用者竊取 $950 萬的假加密錢包 App
- Macworld使用蘋果 App Store，風險自負
- 鏈上調查ZachXBT追蹤到被盜資金流經超過 150 個 KuCoin 存款地址，與名為 AudiA6 的中心化混幣服務有關。他批評 Apple 甚至封鎖 urlscan.io 分析假 App 的頁面，質疑 Apple 不希望外界記錄其 App Store 上架假 App 的事實。
- 官方回應Ledger 技術長 Charles Guillemet 警告正版 App 絕對不會要求使用者輸入 24 字助記詞，並強調唯一安全的做法是將私鑰保存在專用硬體裝置上，不要在任何 App 或網站輸入助記詞。
- 受害者證詞音樂人 Garrett "G. Love" Dutton 在新 Mac 上搜尋 Ledger Live 時下載到假 App，十年累積的 5.92 BTC 退休積蓄在輸入助記詞後瞬間被提領，損失約 $42.4 萬。
- Apple 生態系統評論9to5Mac 指出同一天 Apple 還下架了另一款問題 App（Freecash），認為這是 App Store 審核機制「糟糕的一天」，質疑以安全為核心賣點的圍牆花園模式是否名不符實。
- 資安觀點CyberInsider 分析指出，假 App 的開發者帳號「Leva Heal Limited」偽造了從 1.0 到 5.0 的版本歷史和假五星評論，營造出成熟可信的假象，成功騙過 App Store 審核流程。
- 法律層面Top Class Actions 報導 Kapil et al. v. Apple 集體訴訟指控 Apple 違反加州消費者法律救濟法和不公平競爭法，主張 Apple 對 App 經過審核且安全的宣傳構成虛假陳述。
- 社群反應Coin Bureau 在 X 上發文警告，強調假 App 外觀與官方 Ledger Live 幾乎一模一樣，呼籲使用者只從 Ledger 官網下載軟體，不要信任任何應用商店的搜尋結果。
- 產業評論Macworld 以「使用 App Store，風險自負」為題撰文，認為此事件根本性地動搖了 Apple 以安全性為由向開發者收取 30% 抽成的正當性。