Sahte Ledger Live Uygulamaları Kripto Paraları Çalıyor

Siber suçlular, sahte Ledger Live uygulamaları ve phishing uyarıları kullanarak seed ifadelerini çalmakta, platformlar boyunca kripto cüzdanlarını sessizce boşaltan zararlı yazılımları başlatmaktadır.

Siber suçlular, Ledger cüzdanlarındaki kriptoları yönetmek için kullanılan Ledger Live uygulamasının sahte sürümlerini kullanarak, seed (anahtar) ifadelerini çalmak ve kullanıcıların fonlarını boşaltmaktadırlar. Moonlock Lab Ağustos 2024’ten bu yana en az dört aktif zararlı yazılım kampanyasının, Ledger Live’ı dolandırıcılık saldırılarıyla hedef aldığını ortaya çıkardı.

Başlangıçta, sahte uygulamalar yalnızca notları ve cüzdan verilerini çalabiliyordu. Ancak bugün, kullanıcıları 24 kelimelik seed phrase’lerini vermek için kandırıyorlar. Atomic macOS Stealer (AMOS) adlı bir taktikte, kullanıcıların seed phrase’lerini “doğrulamalarını” isteyen sahte bir güvenlik uyarısı bulunur. Bir kere yazıldığında, bu bilgi doğrudan hackerlara gönderilir.

Değişim, Rodrigo adında bir hacker tarafından geliştirilen “Odyssey” adlı zararlı yazılımla başladı. Moonlock’a göre, Mart 2025’ten bu yana Odyssey, kullanıcıları bir “kritik hata”yı düzeltmek için seed’lerini girmeye teşvik eden bir phishing sayfasıyla Ledger Live’ın savunmalarını aştı.

Rodrigo’nun yöntemi bir zincir reaksiyon başlattı. Başka bir hacker, @mentalpositive, şimdi malware’larının bir “anti-Ledger” modülü içerdiğini iddia etti. Ancak kodlarının iki örneği büyük değişiklikler göstermiyordu – yalnızca yeni bir sunucu adresi ve “JENYA”dan “SHELLS”e ad değişikliği.

Bu arada, Jamf Tehdit Laboratuvarları tarafından keşfedilen yeni bir kampanya, tespit edilemez bir Mac yükleyiciyi içeriyordu ki bu yükleyici sahte bir Ledger Live arayüzü yüklüyor. Bu hırsız, Python ve AppleScript karışımını kullanarak sessizce şifreleri, dosyaları ve cüzdan verilerini kapıyor.

AMOS, Rodrigo’nun phishing şemasını da benimsedi. Kurbanlar, Apple’ın güvenlik kontrollerini atlayan bir terminal dosyasını çalıştırmaya kandırılıyor, bu da kötü amaçlı yazılımın çalışmasına izin veriyor. Eğer gerçek bir sistem, sanal bir sistem değilse, çalınan dosyaları ve kimlik bilgilerini – Binance ve TonKeeper’dan gelen veriler dahil – uzaktaki bir sunucuya gönderir.

Daha fazla hacker’ın bu yaklaşımı kopyalamasıyla, kripto kullanıcılarına uygulamalara veya pop-up’lara seed ifadeleri girmemeleri konusunda uyarıda bulunuluyor.