App Store memiliki reputasi kuat sebagai tempat yang aman untuk mengunduh aplikasi. Dalam hal itu, diyakini bahwa perangkat lunak yang buruk tidak akan lolos proses peninjauan. Reputasi ini terpukul parah pada April 2026 ketika peneliti keamanan menemukan 26 aplikasi dompet mata uang kripto palsu di App Store; lebih lanjut, sebuah aplikasi Ledger palsu mencuri lebih dari 9,5 juta dolar dari lebih dari 50 orang dalam waktu kurang dari tujuh hari. Insiden ini mengungkap kekurangan besar dalam keamanan App Store yang harus diketahui oleh pengguna mata uang kripto.<h2>Kampanye FakeWallet</h2>Tim Intelijen Ancaman Kaspersky telah menganalisis dengan cermat operasi malware terkoordinasi yang disebut<a href="https://www.kaspersky.com/about/press-releases/kaspersky-finds-26-fake-crypto-wallet-apps-on-apples-app-store-that-can-drain-digital-assets" rel="noopener noreferrer" target="_blank"> </a>FakeWallet. Operasi ini telah dilacak kembali ke rentang waktu minimal Musim Gugur 2025 dan kemungkinan terkait dengan pelaku yang sama yang sebelumnya dikenal dengan SparkKitty — operasi malware berbasis iOS yang dilaporkan setahun sebelumnya. Aplikasi-aplikasi tersebut dirancang agar terlihat persis sama dan berfungsi sama seperti tujuh dompet mata uang kripto populer yang berbeda (MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken, dan Bitpie). Mereka meniru tampilan visual dan menata antarmuka mereka sedemikian rupa sehingga akan lolos pemeriksaan biasa — dan mereka ditemukan terutama di App Store iOS Tiongkok, tempat tidak ada dompet mata uang kripto resmi karena peraturan setempat. Pelaku jahat berusaha memanfaatkan celah ini dengan membuat aplikasi mereka sebagai game/kalkulator untuk lolos tinjauan awal Apple dan beralih ke tindakan berbahaya setelah diinstal.<h2>Cara Kerja Serangan</h2>Setelah pengguna menginstal aplikasi berbahaya, aplikasi itu akan mengalihkan mereka ke halaman web yang dibuat agar terlihat seperti halaman App Store Apple yang sah, meminta mereka untuk mengunduh apa yang sebenarnya adalah versi Trojanized dari aplikasi dompet kripto. Halaman tersebut kemudian meminta pengguna untuk menginstal<a href="https://securelist.com/fakewallet-cryptostealer-ios-app-store/119474/" rel="noopener noreferrer" target="_blank"> </a>profil pengembang (metode distribusi aplikasi internal yang sah untuk Apple) yang, setelah disetujui, akan menginstal versi Trojanized dari dompet kripto di ponsel pengguna. Setelah instalasi selesai, serangan akan berlanjut tergantung pada jenis dompet yang diserang. Jika dompet yang digunakan korban diklasifikasikan sebagai dompet 'panas' (hot wallet), malware akan mencegat layar pembuatan atau pemulihan dompet menunggu untuk menangkap tepat saat korban memasukkan frasa sandi (seed phrase) mereka. Jika malware berhasil menangkap frasa sandi (dan korban tidak akan tahu bahwa itu telah ditangkap), pelaku jahat akan memiliki kontrol penuh dan permanen atas dompet korban dan segala sesuatu yang tersimpan di dalam dompet tersebut. Tidak ada cara untuk membalikkan ini. Blockchain tidak tahu bagaimana kunci pribadi diperoleh. Untuk dompet yang termasuk dalam kategori dompet 'dingin' (cold wallet), seperti Ledger, malware akan menggunakan vektor serangan yang berbeda untuk mendapatkan kontrol atas aset dompet korban. Aplikasi smartphone Ledger yang sah tidak pernah meminta frasa sandi dan hanya berinteraksi dengan perangkat keras Ledger (kunci pribadi yang sebenarnya disimpan di perangkat keras itu). Malware akan membuat versi palsu dari aplikasi smartphone Ledger dan menyediakan langkah-langkah untuk tujuan verifikasi; langkah-langkah verifikasi akan meminta frasa sandi korban untuk menyelesaikan proses verifikasi. Proses instalasi ini sengaja dirancang untuk menyalahgunakan tingkat kepercayaan korban pada aplikasi yang sah untuk mendapatkan akses aman ke aset mereka. Frasa sandi yang berhasil ditangkap dienkripsi menggunakan RSA dan ditransmisikan ke server yang dikendalikan penyerang. Setelah dana dikuras, pemulihan tidak mungkin dilakukan.<h2>Insiden Ledger dan Kerugian Finansial</h2>Antara 7–13 April, sebuah aplikasi Ledger Live yang dibuat secara curang di macOS App Store menipu<a href="https://www.coindesk.com/business/2026/04/14/a-fake-ledger-app-on-the-apple-app-store-just-drained-usd9-5-million-in-crypto" rel="noopener noreferrer" target="_blank"> </a>lebih dari 50 korban berbeda dengan total nilai lebih dari $9,5 juta. Tiga kerugian terbesar terdiri dari $3,23 juta dalam USDT, $2,08 juta dalam USDC, dan $1,95 juta dalam gabungan jenis BTC, ETH, dan stETH. $7,76 juta dari dana yang dicuri ditransfer melalui<a href="https://www.bleepingcomputer.com/news/security/fake-ledger-live-app-on-apples-app-store-stole-95m-in-crypto/" rel="noopener noreferrer" target="_blank"> </a>150 alamat deposit KuCoin yang berbeda dan dicuci melalui layanan mixing terpusat bernama AudiA6 yang dirancang untuk mengaburkan jejak aktivitas transaksi apa pun. Salah satu korban melaporkan kehilangan setara 5,9 BTC (tabungan 10 tahun) setelah secara keliru mengunduh versi aplikasi yang tampak resmi saat mengonfigurasi komputer barunya. <h3>Fakta Penting Sekilas</h3> <table style="border:none;border-collapse:collapse" class="ql-table-better"><temporary class="ql-table-temporary" style="border:none;border-collapse:collapse" data-class="ql-table-better"> </temporary><colgroup><col width="208"><col width="406"></colgroup><tbody><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="1">Item</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="1">Detail</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="2">Nama kampanye</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="2">FakeWallet</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="3">Aplikasi teridentifikasi</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="3">26</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="4">Dompet yang ditiru</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="4">MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken, Bitpie</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="5">Kampanye aktif sejak</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="5">Setidaknya Musim Gugur 2025</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="6">Kampanye sebelumnya terkait</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="6">SparkKitty</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="7">Wilayah target awal utama</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="7">App Store iOS Tiongkok</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="8">Pembatasan geografis pada malware</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="8">Tidak ada — paparan global mungkin terjadi</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="9">Aplikasi dihapus oleh Apple</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="9">25 dari 26 (sebelum publikasi)</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="10">Kerugian aplikasi palsu Ledger terpisah</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="10">$9,5 juta</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="11">Korban dalam insiden Ledger</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="11">50+</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="12">Rute pencucian dana yang dicuri</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="12">Alamat deposit KuCoin melalui mixer AudiA6</td></tr></tbody></table> <h2>Yang Harus Dilakukan Pengguna</h2> Menyusul pengungkapan yang bertanggung jawab oleh Kaspersky,<a href="https://9to5mac.com/2026/04/14/apple-pulls-fake-ledger-app-and-freecash-in-rough-day-for-app-store-review/" rel="noopener noreferrer" target="_blank"> </a>Apple menghapus 25 dari 26 aplikasi FakeWallet sebelum publikasi penelitiannya. Setelah laporan pencurian dipublikasikan, Apple menghapus aplikasi Ledger macOS palsu. Menurut Kaspersky, Anda tidak boleh menginstal profil pengembang apa pun yang tidak diizinkan oleh atasan Anda untuk tujuan bisnis yang sah. Anda juga tidak boleh memasukkan frasa sandi Anda ke aplikasi apa pun yang memintanya secara tidak terduga karena aplikasi dompet asli tidak akan pernah meminta frasa sandi tanpa menggunakan perangkat keras fisik mereka. Anda juga harus memverifikasi penerbit setiap aplikasi yang Anda unduh dengan memeriksa situs web resmi pengembang sebelum mengunduh aplikasi, apakah Anda mendapatkan aplikasi dari App Store. App Store tidak bebas dari kompromi. Ini adalah fakta terdokumentasi dengan baik yang didukung oleh bukti, bukan kekhawatiran teoretis yang tersembunyi di dalam white paper keamanan yang sebagian besar pengguna tidak membacanya.

Kaspersky menemukan 26 aplikasi dompet kripto palsu di iOS App Store yang mencuri frase benih. Aplikasi Ledger palsu terpisah menguras $9,5 juta dari lebih dari 50 korban dalam waktu kurang dari seminggu melalui mixer AudiA6.

Dompet Crypto Palsu yang Dirancang untuk Menguras Aset Digital Ditemukan di Apple App Store

/media/contribution/car7cca855be207479089c0bed33c804071/fbu_0507185414257.stxt

Kast Merekrut Mantan Pejabat SEC Stephanie Allen untuk Memimpin Komunikasi Kebijakan

/media/contribution/card85f52cd0bf24832967ff7558a9232a6/0bn_0507172850763.stxt

Panduan Singkat Pemula untuk Perdagangan Futures di LBank

/media/contribution/car53657f5df81a46aaa62c15253631838b/h86_0507185810963.stxt

Kebenaran Tentang Crypto dan Uang Pajak Anda — Apa yang Baru Saja Diberitahukan Scott Bessent ke Kongres Akan Mengejutkan Bitcoin

/media/contribution/car6aab590c11eb4eb5b0e482feb46d25c5/lvl_0507172209190.stxt

Bursa Terkait Sanksi Grinex Hentikan Perdagangan Setelah Peretasan $13,7J

/media/contribution/car71555f6295614e61a358a6afaef34b9a/r5x_0507184728720.stxt

Cara Memanfaatkan Ledakan Agen AI BNB Chain dan Membuka Peluang Baru di Crypto

/media/contribution/car7e267414288c4f769119384d4a45d799/d6y_0507171334125.stxt