45 کیف پول ارز دیجیتال در اپ استور، وجوه کاربران را در معرض خطر قرار می‌دهد

• ایگور کُرساکوف، CTO بلوالت، یک جهان از 494 برنامه در فروشگاه را بررسی کرد.
• این مطالعه سطح تهدید را در 23 مورد بحرانی و 22 مورد با شدت بالا تفکیک کرد.

یک تحلیل فنی از 494 کیف پول ارز دیجیتال در اپ استور، که از یک جهان کلی 904 برنامه ثبت شده به عنوان غیرقیمتی استخراج شده، نشان داد که 45 مورد از آنها دارای نقص‌های امنیتی جدی هستند.

این مطالعه که توسط ایگور کُرساکوف، CTO بلوالت انجام شده، شناسایی کرد که تقریباً 1 از هر 10 برنامه بررسی شده در iOS وجوه کاربران را در معرض خطر قرار می‌دهد. این گزارش دیگر وکتورهای حمله خاص در فروشگاه اپل را مستند می‌کند:

• ارسال عبارات مخفی، دانه‌های یادآوری و کلیدهای خصوصی به پایگاه‌های داده از راه دور مانند Firestore، Heroku یا دامنه‌های خارجی. در میان موارد افشا شده، Aura: Bitcoin Wallet برجسته است، که کد عمومی آن در گیت‌هاب پیشنهاد می‌کند که یک اجرای محلی دارد، اما باینری تجاری آن در iOS داده‌های بازیابی را به سرور coffer.agency ارسال می‌کند.

• رمزگذاری ضعیف: ایجاد عبارات دانه در سرورهای متمرکز و استفاده از توابع ریاضی قابل پیش‌بینی (مانند Math.random برای استاندارد BIP39)، که انتروپی لازم برای ایمن بودن کیف پول را حذف می‌کند.

• اجرای از راه دور: ماژول‌های جاوا اسکریپت بدون امضا که از سرورهای خارجی بارگذاری می‌شوند بدون اینکه بررسی شود که آیا توسط یک مهاجم تغییر یافته‌اند یا خیر.

در عمل، این نواقص وعده اساسی خود-نگهداری را باطل می‌کند: کنترل انحصاری بر دارایی‌های دیجیتال. با استفاده از یکی از این برنامه‌های آسیب‌پذیر، کلیدهای مخفی کاربران، معادل کلیدهای دسترسی به یک گاوصندوق، در معرض انتقالات غیرمجاز به سرورهای خارجی قرار می‌گیرد.

علاوه بر این، تولید عبارات بازیابی از طریق فرمول‌های ریاضی قابل پیش‌بینی به اشخاص ثالث این امکان را می‌دهد که ترکیب‌های دسترسی را محاسبه یا حدس بزنند، درهای خالی شدن از راه دور وجوه را بدون نیاز به تعامل مالکان باز می‌کند.

<<ممکن است مثبت‌های کاذب وجود داشته باشد و اینکه یک برنامه در لیست ظاهر نشود به این معنا نیست که 100% ایمن است>>، کُرساکوف در گزارش خود منتشر شده در kek.lol توضیح داد.

برای بررسی جهان 904 کیف پول ثبت شده، کُرساکوف بسته‌های برنامه را از طریق ابزار ipatool استخراج کرد و یک بازرسی استاتیک کد، متمرکز بر جاوا اسکریپت، با پشتیبانی از مدل Grok 4.6 xhigh انجام داد.
گزارش کُرساکوف 23 کیف پول ارز دیجیتال را به عنوان بحرانی و 22 مورد را با آسیب‌پذیری بالا طبقه‌بندی می‌کند. تصویر با استفاده از جمنای ایجاد شده است.

تأثیر واقعی: این نواقص برای کاربران چه معنایی دارد؟

این یافته دوباره به بررسی امنیت اپل شک می‌افکند. اگرچه اپ استور وعده یک محیط بسته و ایمن را می‌دهد، این اولین بار نیست که کنترل‌های آن شکست می‌خورد.

در مه 2026، شرکت کاسپرسکی 26 برنامه جعلی در iOS را شناسایی کرد که به برندهای شناخته شده‌ای مانند متامسک و کوین بیس تقلب می‌کردند. اپل با دعاوی قانونی پس از ظهور یک برنامه جعلی از Sparrow Wallet که منجر به سرقت 1.8 میلیون دلار بیت‌کوین شد، مواجه است.

تا کنون، اپل در مورد حذف برنامه‌های مورد اشاره اظهار نظری نکرده است.

این گزارش بحث درباره آسیب‌پذیری راه‌حل‌های امضای واحد در محیط‌های متصل به اینترنت را دوباره فعال می‌کند. در برابر آسیب‌پذیری فروشگاه‌های بزرگ برنامه، توصیه فنی پیشنهاد می‌کند:

• از برنامه موبایل فقط برای مشاوره استفاده کنید: کیف پول تلفن را فقط برای آماده‌سازی تراکنش‌ها و مشاهده موجودی تنظیم کنید، بدون اینکه کلیدهای مخفی را در دستگاه ذخیره کنید.

• از برنامه تلفن همراه فقط برای مشاوره استفاده کنید: کلیدهای مخفی را در تلفن ذخیره نکنید. کیف پول موبایل را فقط برای آماده‌سازی تراکنش‌ها و مشاهده موجودی تنظیم کنید و از اینکه تأیید نهایی (امضا) همیشه از یک دستگاه فیزیکی که به اینترنت متصل نیست (مانند Keystone یا Foundation Devices) انجام شود، اطمینان حاصل کنید.

محقق کُرساکوف درباره خطرات استفاده از یک دستگاه واحد برای نگهداری وجوه هشدار می‌دهد و توصیه می‌کند که از طرح‌های چندامضایی برای محافظت از دارایی‌های دیجیتال استفاده شود. منبع: X / overtorment.

در هر صورت همچنین باید در نظر داشت که افشاگری‌های اخیر درباره اپ استور تأیید می‌کند که امنیت در اکوسیستم بیت‌کوین و ارزهای دیجیتال در مرحله بحرانی قرار دارد، که با افزایش وکتورهای حمله مشخص می‌شود.

با این حال، تحلیل ایگور کُرساکوف یک دینامیک جدید در امنیت سایبری را افشا می‌کند، مانند استفاده از هوش مصنوعی مانند Grok 4.6 xhigh برای بررسی صدها برنامه در زمان رکورد.

این همان قابلیت اتوماسیون که امروز به محققان مستقل اجازه می‌دهد نقص‌های پنهان را در مقیاس بزرگ شناسایی کنند، همان چیزی است که بازیگران مخرب برای بهبود پیشنهادات فریبنده خود، اتوماسیون ایجاد بدافزار و یافتن شکاف‌های کد با سرعتی بی‌سابقه استفاده می‌کنند.

بنابراین، نبرد برای نگهداری دیجیتال دیگر فقط کاربران و مجرمان سایبری را در برابر هم قرار نمی‌دهد، بلکه دو روی هوش مصنوعی در یک مسابقه مداوم برای پیشی گرفتن از نقص امنیتی بعدی است.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.