Um aplicativo falso de negociação de criptomoedas chamado Padre Terminal, disponível na App Store da Apple para dispositivos iOS, foi associado ao roubo de aproximadamente US$ 23.000 de 27 carteiras da Solana.
A investigadora de blockchain Iris confirmou que uma das vítimas teve a carteira comprometida pelo aplicativo malicioso, mas ainda não determinou como as outras carteiras foram afetadas.
Segundo Iris, o aplicativo esvazia as carteiras quando usuários desavisados importam suas chaves privadas para ele.
Padre era uma plataforma de negociação de criptomoedas usada principalmente para comprar e vender moedas meme na blockchain Solana. Mais tarde, a pump.fun renomeou a plataforma para Terminal. A pump.fun é voltada à criação, compra e venda de moedas meme na Solana.
Iris afirma que o serviço legítimo de negociação Padre, agora chamado Terminal pela pump.fun, funciona apenas na web. Portanto, qualquer aplicativo móvel que se passe por ele, incluindo o que esteve disponível na App Store, é malicioso.
Segundo o BleepingComputer, uma investigação inicial identificou dois aplicativos Padre na App Store, com os identificadores 6802739263 e 6717572591. Iris confirmou que o primeiro foi usado para esvaziar carteiras. O segundo provavelmente é o aplicativo oficial da pump.fun, disponível desde outubro de 2024.
O aplicativo malicioso Padre Terminal foi removido da App Store. Sua página agora retorna um erro 404.
Segundo o BleepingComputer, Iris suspeita que a interface de negociação do aplicativo falso seja carregada remotamente, mas não observou diretamente a tela usada para esvaziar as carteiras.
De acordo com Iris, a operação esvaziou 27 carteiras da Solana desde 25 de outubro de 2026, roubando aproximadamente US$ 23.000 em criptomoedas. Os ativos roubados foram rastreados até o endereço 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN, na Solana.
Iris afirma que, em 29 de outubro, o invasor converteu todos os 4.070 tokens USDC restantes em SOL, eliminando a possibilidade de a Circle congelar esses fundos.
Em seguida, o invasor transferiu 192 SOL para uma nova carteira, identificada pelo endereço H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu. Segundo Iris, as duas carteiras somavam 229,66 SOL, e nenhum valor havia sido sacado até a atualização da pesquisadora.
A operação para esvaziar carteiras continuou ativa mesmo após a remoção do aplicativo. O roubo mais recente relatado ocorreu às 17h06 UTC de 29 de outubro.
Iris identificou pelo menos cinco aplicativos suspeitos na App Store que se passam por marcas de criptomoedas: Padre Terminal, Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools e Pump Fun Tokens & Analitycs.
As páginas dos aplicativos trazem descrições aparentemente inofensivas, mas algumas avaliações de usuários revelam sua verdadeira natureza. Muitas acusam os aplicativos de roubar criptomoedas e aplicar golpes.
O aplicativo Axiom Pro: Focus, por exemplo, tinha cerca de 25 avaliações que relatavam roubos de carteiras desde fevereiro. Uma pessoa afirmou que o aplicativo se apresentava como uma plataforma de negociação de moedas meme antes de se transformar em um aplicativo de foco.
Uma avaliação do GMGN AI relatou o roubo de US$ 2.000. Outra, sobre o HyperTerminal-HyperliquidTools, mencionou o desaparecimento de US$ 2.020.
Outro aplicativo, Pump Fun Tokens & Analitycs, se apresentava como um aplicativo de anotações, mas recebeu uma avaliação que o acusava explicitamente de roubar criptomoedas.
Iris também encontrou um script no site falso da Axiom que continha endereços de infraestrutura de backend associados a imitadores da Axiom, da Aster e da GMGN, o que sugere que eles podem ter um operador em comum. Padre Terminal, porém, não foi associado a esse grupo.
Além disso, um script no site da GMGN bloqueia visitantes de vários países da Comunidade dos Estados Independentes (CEI), o que pode indicar que os invasores tentam evitar atingir usuários dessas regiões.
Iris não confirmou de forma independente o roubo de criptomoedas relacionado aos outros quatro aplicativos suspeitos.
Segundo o BleepingComputer, o veículo entrou em contato com a Apple sobre o aplicativo Padre usado para esvaziar carteiras e os outros quatro aplicativos suspeitos disponíveis na App Store, mas não recebeu resposta até a publicação da reportagem.
Em março de 2024, um aplicativo falso da carteira de criptomoedas Leather apareceu na App Store da Apple. Vários usuários relataram ter perdido seus ativos depois de conectar as carteiras ao aplicativo.
A Apple removeu o aplicativo duas semanas depois e excluiu seu responsável do programa para desenvolvedores.
A recomendação para os usuários é acessar a App Store por meio dos links disponíveis nos sites oficiais dos projetos. Também é melhor evitar aplicativos com poucas instalações e avaliações ou publicados por entidades cujos nomes não tenham relação aparente com o projeto.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...