Der Betrug offenbarte eine bemerkenswerte Sicherheitslücke im App-Store-System Apples. Die gefälschte Anwendung wurde unter dem Publisher-Namen ‘Leva Heal Limited’ eingereicht – ein Konto, das keinerlei Verbindung zum echten Ledger-Entwicklerteam hatte. Besonders raffiniert war die Taktik der Betrüger: Sie veröffentlichten schnell aufeinanderfolgende Versionsupgrades von 1.0 bis 5.0 innerhalb von nur zwei Wochen, um der App Glaubwürdigkeit zu verleihen und Apples Sicherheitschecks zu umgehen.
Der Blockchain-Investigator ZachXBT konnte drei Einzelopfer identifizieren, die zwischen dem 8. und 11. April jeweils sieben-stellige Summen verloren – darunter 3,23 Millionen Dollar, 2,08 Millionen Dollar und 1,95 Millionen Dollar. Die gestohlenen Vermögenswerte wurden über mehrere Blockchain-Netzwerke verteilt (Bitcoin, Ethereum, Tron, Solana und Ripple) und anschließend über mehr als 150 Adressen auf der Exchange KuCoin geleitet. Von dort wurden die Gelder durch einen Mixing-Service namens ‘AudiA6’ gewaschen.
Auch prominente Verluste wurden dokumentiert: Der Musiker G. Love bestätigte auf X (ehemals Twitter), dass er 5,9 Bitcoin verlor – ein Schaden von etwa 430.000 Dollar. ZachXBT konnte diese Aussage verifizieren und in die Gesamtermittlungen einordnen.
Apple reagierte nach mehreren Nutzer-Meldungen und entfernte die App aus dem Store – aber erst nach dem massiven Schaden. Der Konzern hat sich bislang nicht zu dem Incident geäußert. Ironischerweise bietet Ledger die macOS-Version seiner Anwendung nur auf der eigenen Website an, nicht im App Store, wo nur die iOS-Version erhältlich ist. Diese Verfügbarkeitslücke nutzten Kriminelle bewusst aus.
Die Krypto-Exchange KuCoin kündigte an, die verdächtigen Konten gesperrt zu haben – allerdings vorerst nur bis zum 20. April. Eine darüberhinausgehende Sperrung ist nur durch offizielle Law-Enforcement-Anfragen möglich. KuCoin selbst hatte in der Vergangenheit mit Geldwäsche-Vorwürfen zu kämpfen und wurde mit 300 Millionen Dollar Geldbuße belegt.
Dieser Fall ist nicht isoliert: Bereits 2023 richteten Cyberkriminelle ähnliche Anschläge auch auf den Microsoft Store, wo sie 768.000 Dollar ergaunerten. Deutsche Nutzer sollten daher verstärkt auf Authentizität von Wallet-Apps achten und offizielle Downloadquellen bevorzugen.