Falsa aplicación de Ledger aparece en App Store: Músico pierde su fondo de retiro en Bitcoin

Falsas aplicaciones de criptomonedas logran repetidamente eludir los controles de Apple y Google, con consecuencias potencialmente desastrosas. Un músico estadounidense ha sido la última víctima: perdió su fondo de pensiones en Bitcoin al caer en una falsa aplicación de Ledger en la App Store. Esto le podría haber pasado a cualquiera.

5,9 BTC perdidos ‘en un instante’

Se trata de Garrett Dutton, conocido como G. Love, el líder de la banda de hip-hop-blues G. Love & Special Sauce. El pasado sábado, a través de la plataforma social X, informó que sus Bitcoins (BTC) desaparecieron «en un abrir y cerrar de ojos».

Dutton estaba transfiriendo su cartera de hardware Ledger a un nuevo ordenador y buscó en la App Store la aplicación oficial Ledger Live. Lo que descargó parecía legítimo, pero no lo era.

La aplicación falsa le solicitó ingresar su frase semilla, una serie de 24 palabras que funcionan como clave principal para una cartera de criptomonedas. Introducir esa frase es un paso estándar al restaurar una cartera en un nuevo dispositivo. Con ello, se regeneran las claves privadas necesarias para transferir las criptomonedas.

Sin embargo, en lugar de restaurar su cartera, la aplicación envió las palabras directamente al atacante. Con ellas, éste pudo generar las mismas claves privadas y vaciar la cartera de una sola vez.

Sus 5,9 BTC, que según Dutton representaban su fondo de pensiones, desaparecieron. Al precio actual del Bitcoin, esto equivale a casi 419.000 dólares. Dutton lo consideraba su fondo de jubilación.

El detective blockchain ZachXBT descubrió que el atacante ya había blanqueado los Bitcoins robados a través de nueve transacciones hacia direcciones de depósito en el exchange de criptomonedas KuCoin. Sus otros activos criptográficos, sin embargo, permanecieron intactos.

Las falsas aplicaciones son una plaga en las tiendas de aplicaciones

En este caso, la culpa no recae en Ledger. El problema de las aplicaciones de carteras falsas en la App Store y Google Play Store está extendido y afecta a casi todas las marcas de criptomonedas conocidas. Los estafadores copian la apariencia y el nombre de carteras populares y logran eludir una y otra vez los controles de Apple y Google.

El año pasado, la empresa de seguridad Cyble descubrió más de veinte aplicaciones de criptomonedas maliciosas en Google Play Store que se hacían pasar por carteras de SushiSwap, PancakeSwap y Hyperliquid, entre otras.

El método casi siempre es el mismo: la aplicación falsa muestra una interfaz de confianza y solicita al usuario que ingrese una frase de recuperación. Sin técnicas de hackeo complicadas, el delincuente obtiene acceso al contenido completo de una cartera.

Ledger ha advertido previamente que las tiendas de aplicaciones oficiales pueden contener versiones falsas y recomienda a los usuarios descargar la aplicación de cartera únicamente a través de su sitio web oficial.