45 กระเป๋าเงินคริปโตใน App Store เสี่ยงต่อเงินทุนของผู้ใช้

• Igor Korsakov, CTO ของ BlueWallet ได้ทำการตรวจสอบแอปพลิเคชันจำนวน 494 รายการในร้านค้า
• การศึกษานี้ได้แยกระดับภัยคุกคามใน 23 กรณีที่มีความรุนแรงสูงและ 22 กรณีที่มีความรุนแรงปานกลาง

การวิเคราะห์ทางเทคนิคเกี่ยวกับกระเป๋าเงินคริปโต 494 รายการใน App Store ซึ่งถูกดึงมาจากจำนวนทั้งหมด 904 แอปพลิเคชันที่ลงทะเบียนว่าไม่ใช่การดูแลรักษา พบว่ามี 45 รายการที่มีข้อบกพร่องด้านความปลอดภัยร้ายแรง

การศึกษาที่ดำเนินการโดย Igor Korsakov, CTO ของ BlueWallet ระบุว่าเกือบ 1 ใน 10 แอปพลิเคชันที่ตรวจสอบใน iOS เปิดเผยเงินทุนของผู้ใช้ รายงานนี้ บันทึกช่องทางการโจมตีที่เฉพาะเจาะจงอื่น ๆ ในร้านค้า Apple:

• การส่งวลีลับ เมล็ดพันธุ์จำลอง และกุญแจส่วนตัวไปยังฐานข้อมูลระยะไกลเช่น Firestore, Heroku หรือโดเมนภายนอก ในกรณีที่เปิดเผยมี Aura: Bitcoin Wallet ซึ่งโค้ดสาธารณะใน GitHub แนะนำให้มีการดำเนินการในท้องถิ่น แต่ไบนารีเชิงพาณิชย์ใน iOS ส่งข้อมูลการกู้คืนไปยังเซิร์ฟเวอร์ coffer.agency

• การเข้ารหัสที่ไม่ดี: การสร้างวลีเมล็ดพันธุ์ในเซิร์ฟเวอร์ที่รวมศูนย์และการใช้ฟังก์ชันทางคณิตศาสตร์ที่คาดเดาได้ (เช่น Math.random สำหรับมาตรฐาน BIP39) ทำให้ไม่มีความไม่แน่นอนที่จำเป็นเพื่อให้กระเป๋าเงินปลอดภัย

• การดำเนินการระยะไกล: โมดูล JavaScript ที่ไม่ได้ลงนามถูกโหลดจากเซิร์ฟเวอร์ภายนอกโดยไม่ตรวจสอบว่าถูกเปลี่ยนแปลงโดยผู้โจมตีหรือไม่

ในทางปฏิบัติ ข้อบกพร่องเหล่านี้ทำให้สัญญาหลักของการดูแลรักษาตนเองถูกยกเลิก: การควบคุมเฉพาะของสินทรัพย์ดิจิทัล เมื่อใช้แอปพลิเคชันที่มีช่องโหว่นี้ กุญแจลับของผู้ใช้ ซึ่งเทียบเท่ากับกุญแจเข้าถึงตู้นิรภัย ถูกเปิดเผยต่อการส่งข้อมูลที่ไม่ได้รับอนุญาตไปยังเซิร์ฟเวอร์ภายนอก

นอกจากนี้ การสร้างวลีการกู้คืนโดยใช้สูตรทางคณิตศาสตร์ที่คาดเดาได้ทำให้บุคคลที่สามสามารถคำนวณหรือเดาการรวมกันของการเข้าถึงได้ เปิดประตูสู่การถอนเงินระยะไกลโดยไม่ต้องมีการมีส่วนร่วมจากเจ้าของ

<<อาจมีผลบวกเท็จและแอปพลิเคชันที่ไม่ปรากฏในรายการไม่ได้หมายความว่าจะปลอดภัย 100%>> Korsakov ชี้แจงในรายงานที่เผยแพร่ใน kek.lol

เพื่อทำการตรวจสอบจำนวน 904 กระเป๋าเงินที่ลงทะเบียน Korsakov ได้ดึงแพ็คเกจแอปพลิเคชันโดยใช้เครื่องมือ ipatool และทำการตรวจสอบโค้ดแบบสถิติ มุ่งเน้นไปที่ JavaScript โดยได้รับการสนับสนุนจากโมเดล Grok 4.6 xhigh.
รายงานของ Korsakov จัดประเภท 23 กระเป๋าเงินคริปโตเป็นกรณีที่มีความรุนแรงสูงและ 22 รายการที่มีความเสี่ยงสูง ภาพที่สร้างขึ้นโดยใช้ Gemini.

ผลกระทบจริง: ข้อบกพร่องเหล่านี้หมายถึงอะไรสำหรับผู้ใช้?

การค้นพบนี้ทำให้เกิดคำถามเกี่ยวกับการตรวจสอบความปลอดภัยของ Apple อีกครั้ง แม้ว่า App Store จะสัญญาว่าสภาพแวดล้อมที่ปิดและปลอดภัย แต่ก็ไม่ใช่ครั้งแรกที่การควบคุมของพวกเขาล้มเหลว

ในเดือนพฤษภาคม 2026 บริษัท Kaspersky ตรวจพบแอปพลิเคชันปลอม 26 รายการใน iOS ที่ปลอมแปลงแบรนด์ที่มีชื่อเสียงเช่น MetaMask และ Coinbase Apple เผชิญกับการฟ้องร้องหลังจากการปรากฏตัวของแอปปลอมของ Sparrow Wallet ที่ทำให้เกิดการโจรกรรม Bitcoin มูลค่า 1.8 ล้านดอลลาร์

จนถึงขณะนี้ Apple ยังไม่ได้แสดงความคิดเห็นเกี่ยวกับการถอนแอปพลิเคชันที่ถูกระบุ

รายงานนี้กระตุ้นการอภิปรายเกี่ยวกับความเปราะบางของโซลูชันการลงนามเดียวในสภาพแวดล้อมมือถือที่เชื่อมต่อกับอินเทอร์เน็ต ท่ามกลางความเปราะบางของร้านค้าแอปขนาดใหญ่ คำแนะนำทางเทคนิคแนะนำ:

• ใช้แอปมือถือเพียงเพื่อดู: ตั้งค่ากระเป๋าเงินในโทรศัพท์เพื่อเตรียมการทำธุรกรรมและดูยอดเงินเท่านั้น โดยไม่เก็บกุญแจลับในอุปกรณ์

• ใช้แอปโทรศัพท์เพียงเพื่อดู: ไม่เก็บกุญแจลับในโทรศัพท์ ตั้งค่ากระเป๋าเงินมือถือเพื่อเตรียมการทำธุรกรรมและดูยอดเงินเท่านั้น และต้องการให้การอนุญาตสุดท้าย (การลงนาม) ทำจากอุปกรณ์จริงที่ไม่เชื่อมต่อกับอินเทอร์เน็ต (เช่น Keystone หรือ Foundation Devices).

นักวิจัย Korsakov เตือนเกี่ยวกับความเสี่ยงของการใช้เพียงอุปกรณ์เดียวในการดูแลเงินทุนและแนะนำให้ใช้ระบบการลงนามหลายลายเซ็นเพื่อปกป้องสินทรัพย์ดิจิทัล แหล่งที่มา: X / overtorment.

ในทุกกรณียังต้องพิจารณาว่าการเปิดเผยล่าสุดเกี่ยวกับ App Store ยืนยันว่า ความปลอดภัยในระบบนิเวศของ Bitcoin และคริปโตเคอเรนซีอยู่ในช่วงวิกฤต ซึ่งมีการเพิ่มจำนวนช่องทางการโจมตี

อย่างไรก็ตาม การวิเคราะห์ของ Igor Korsakov เปิดเผยพลศาสตร์ใหม่ในด้านความปลอดภัยไซเบอร์ เช่น การใช้ปัญญาประดิษฐ์เช่น Grok 4.6 xhigh ในการตรวจสอบแอปพลิเคชันหลายร้อยรายการในเวลาที่รวดเร็ว

ความสามารถในการทำงานอัตโนมัตินี้ที่ช่วยให้นักวิจัยอิสระสามารถตรวจจับข้อบกพร่องที่ซ่อนอยู่ในขนาดใหญ่ได้คือสิ่งที่ผู้กระทำผิดที่มีเจตนาร้ายใช้เพื่อปรับปรุงข้อเสนอที่หลอกลวง อัตโนมัติการสร้างมัลแวร์ และค้นหาช่องโหว่ของโค้ดด้วยความเร็วที่ไม่เคยมีมาก่อน

ดังนั้น การต่อสู้เพื่อการดูแลรักษาดิจิทัลจึงไม่เพียงแต่เผชิญหน้ากับผู้ใช้และอาชญากรไซเบอร์ แต่ยังเป็น สองด้านของ AI ในการแข่งขันที่ต่อเนื่องเพื่อก้าวนำหน้าข้อบกพร่องด้านความปลอดภัยครั้งต่อไป.

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ