Aplicativo falso do Ledger na App Store: como golpistas roubaram $9,5 milhões e como proteger sua carteira

Aplicativo falso do Ledger na App Store: como golpistas roubaram $9,5 milhões e como proteger sua carteira

Garrett Dutton tocou blues sob o pseudônimo G. Love por mais de trinta anos. Nesse tempo, conquistou fãs pelo mundo inteiro e guardou algo para o futuro – 5,9 Bitcoin, aproximadamente $420.000 pelo câmbio de abril de 2026. Ele chamava essas moedas de seu fundo de aposentadoria. Em abril, baixou um aplicativo da App Store, inseriu a seed phrase – e em poucos minutos perdeu todas as suas economias.

A história de Dutton virou manchete não por ele ser famoso, mas porque ele não está sozinho. O investigador de blockchain ZachXBT contabilizou mais de 50 vítimas, com um total de $9,5 milhões roubados. Os fundos saíram de carteiras em Bitcoin, Tron e Solana – e foram parar em endereços ligados a um mixer associado à exchange KuCoin.

Não é um canto obscuro da internet. É a App Store oficial da Apple.

O que aconteceu: o Ledger Live falso na loja da Apple

Ledger é uma empresa francesa que fabrica alguns dos hardware wallets mais populares do mundo. O aplicativo oficial Ledger Live serve para gerenciar dispositivos Ledger: visualizar saldo, enviar transações, atualizar firmware. O aplicativo é gratuito e sua versão oficial está disponível no site da própria empresa.

Os golpistas criaram um clone – uma cópia visualmente idêntica do Ledger Live – e de alguma forma passaram pela moderação da Apple. O aplicativo apareceu na Mac App Store e ficou disponível tempo suficiente para acumular dezenas de vítimas. De acordo com ZachXBT, a campanha durou cerca de uma semana.

O esquema funcionava por meio de phishing de seed phrase. O aplicativo parecia o Ledger Live legítimo e pedia aos usuários que inserissem a frase mnemônica de 24 palavras – supostamente para "sincronização" ou "recuperação de acesso". Assim que a vítima digitava as palavras, os criminosos obtinham controle total sobre a carteira e sacavam os fundos imediatamente.

«Garrett Dutton's 5.9 Bitcoin has already been sent to deposit addresses associated with KuCoin» – ZachXBT, abril de 2026

A Apple reagiu após o escândalo público: o aplicativo foi removido e o desenvolvedor foi banido do programa da App Store. Em comentário para o Cointelegraph, a empresa confirmou a remoção. No entanto, a pergunta sobre por que o aplicativo falso passou pela revisão e quanto tempo levou até a reação ficou sem uma resposta clara.

Por que a moderação da App Store não deteve os golpistas

A Apple posiciona sua loja há anos como um ecossistema seguro – ao contrário do Android, onde aplicativos podem ser instalados de fontes externas. Essa confiança acabou jogando contra os usuários: muitos não duvidaram da autenticidade do aplicativo por vê-lo na loja oficial.

Como exatamente o aplicativo falso passou pela revisão ainda não está totalmente esclarecido. A moderação da App Store combina verificações automáticas com revisão manual, mas está focada principalmente na segurança do código, não nas intenções do desenvolvedor. Um aplicativo que simplesmente exibe um formulário para inserir palavras e as envia a um servidor tecnicamente pode não conter "código malicioso" no sentido clássico.

Além disso, os golpistas podem ter usado algumas técnicas para burlar a revisão:

• Enviar primeiro uma versão inofensiva do aplicativo e depois atualizar a funcionalidade após a aprovação
• Usar um nome próximo ao original, mas que formalmente não viola as regras de marcas registradas
• Focar em um público pequeno para não chamar atenção com reclamações de usuários

ZachXBT levantou publicamente a questão da responsabilidade da Apple. Se a plataforma cobra comissão dos desenvolvedores e posiciona sua moderação como proteção aos usuários – ela carrega alguma responsabilidade pelas perdas que essa moderação não evitou? Não há resposta jurídica por enquanto, mas o dano à reputação é evidente.

Para onde foi o dinheiro: Bitcoin, Tron, Solana e o rastro do mixer

Merece atenção especial a forma como os golpistas sacavam os fundos. ZachXBT rastreou o fluxo do dinheiro e constatou que os ativos roubados – em Bitcoin, Tron e Solana – passaram por um mixer associado à exchange KuCoin. Esse é o esquema padrão para anonimização rápida: os fundos são divididos em pequenas quantias, misturados por vários endereços e depois sacados em uma exchange onde são mais difíceis de rastrear.

A própria exchange KuCoin não tem culpa aqui – os criminosos usaram endereços associados a ela, não a plataforma em si. Mas esse rastro é importante: ele mostra que os criminosos tinham uma infraestrutura de lavagem preparada antecipadamente, não uma improvisação. Não são hackers aleatórios, mas um grupo organizado com um plano bem definido.

É exatamente por isso que a verificação de endereços por meio de ferramentas AML se torna tão importante – especialmente ao receber fundos de fontes desconhecidas. Se um endereço já apareceu em esquemas de lavagem, um bom scanner AML vai identificar isso. Em nosso portal, disponibilizamos um verificador AML para essa finalidade – ele analisa endereços em Bitcoin e outras blockchains com base em cadastros de carteiras fraudulentas conhecidas e fontes de alto risco.

O principal erro das vítimas: a seed phrase nunca é inserida em um aplicativo

Parece óbvio, mas é exatamente esse erro que se repete continuamente – até mesmo entre usuários experientes. A seed phrase (frase mnemônica de 12 ou 24 palavras) é a chave-mestra da carteira. Quem tem essas palavras possui as moedas. Ponto.

O aplicativo legítimo Ledger Live nunca pede para inserir a seed phrase. Nunca. Esse é o princípio fundamental dos hardware wallets: as chaves privadas nunca saem do dispositivo, e a seed phrase só é necessária para a recuperação física da carteira em um novo dispositivo – e é inserida no próprio dispositivo, não em um programa no computador.

Se um aplicativo pede a seed phrase – é fraude. Não importa como ele aparece ou de onde foi baixado. Sem exceções.

O que lembrar sobre a seed phrase

• Nunca inserir a seed phrase em software no computador ou celular
• Nunca fotografar nem armazenar digitalmente
• Nunca compartilhar com ninguém – nem com o suporte
• Guardar apenas em papel ou suporte metálico em local protegido

Como os golpistas escolhiam as vítimas

Hardware wallets são usados por pessoas que já entendem algo sobre criptomoedas. Não são iniciantes que compraram seus primeiros $100 em uma exchange – são holders que conscientemente escolheram o armazenamento a frio para proteger valores significativos. Por isso o valor médio por vítima foi alto: o total de perdas de $9,5 milhões dividido por 50+ afetados resulta em quase $190.000 por pessoa em média.

Os golpistas miraram onde o dinheiro estava. Eles sabiam que os usuários do Ledger não são pessoas aleatórias. E sabiam que a confiança no ecossistema Apple cria uma falsa sensação de segurança.

G. Love provavelmente achava que, por usar um hardware wallet e baixar o aplicativo da loja oficial, estava em segurança. Essa é a armadilha típica: a pessoa toma a decisão certa (hardware wallet), mas depois comete um erro crítico na etapa final.

A pergunta para a Apple: quem é responsável

Após as publicações de ZachXBT e a onda de cobertura na mídia, a Apple rapidamente removeu o aplicativo e encerrou a conta do desenvolvedor. Mas isso não responde à questão sistêmica.

A App Store não é apenas um catálogo de aplicativos. É um ecossistema controlado, pelo acesso ao qual a Apple cobra 30% da receita dos desenvolvedores e uma taxa anual de membros. A empresa vende confiança como produto. O slogan «We review every app» não é apenas marketing – é uma promessa de segurança.

Quando essa promessa é quebrada e usuários perdem dinheiro real, surge uma pergunta legítima: uma vítima pode exigir indenização da Apple? Hoje – quase certamente não. Os termos de uso da App Store isentam a empresa de responsabilidade pelo conteúdo de aplicativos de terceiros. Mas a pressão regulatória sobre plataformas em relação à responsabilidade pelo conteúdo cresce em diversas jurisdições, e este incidente é mais um argumento para quem defende que grandes plataformas devem assumir mais responsabilidade.

ZachXBT perguntou diretamente: a Apple é responsável pelos $9,5 milhões roubados? Não obteve resposta.

Não é a primeira vez: histórico de phishing por lojas de aplicativos

O caso do Ledger não é isolado. Ao longo de vários anos, versões falsas de carteiras cripto populares e aplicativos de gestão de ativos apareceram periodicamente na App Store e no Google Play. A moderação os detecta – mas nem sempre com rapidez, e nem sempre antes que usuários sejam prejudicados.

Em 2021, algo semelhante aconteceu com um aplicativo falso do Trezor – outro fabricante popular de hardware wallets. Em 2023, foram registrados casos com aplicativos falsos do MetaMask e do Trust Wallet. A cada vez, o esquema é praticamente o mesmo: cópia visual convincente, solicitação de seed phrase ou chave privada, saque imediato dos fundos.

A indústria cripto reage de formas diferentes. O Ledger avisa regularmente seus usuários: o aplicativo deve ser baixado apenas do site oficial ledger.com, não das lojas de aplicativos, onde o controle é menor. Mas a maioria das pessoas não sabe disso – ou não dá atenção quando vê um botão conveniente de "Instalar" em uma interface familiar.

Como verificar se você está usando o aplicativo legítimo

Etapas concretas para quem usa hardware wallets ou planeja usá-los:

Para usuários do Ledger

• Baixar o Ledger Live apenas do site oficial ledger.com – e em nenhum outro lugar
• Verificar a assinatura digital do instalador ao baixar no Windows ou Linux
• Não instalar o Ledger Live pela App Store ou Google Play – a empresa recomenda oficialmente o site
• Verificar regularmente os canais oficiais do Ledger para alertas sobre aplicativos falsos

Regras gerais de segurança para qualquer carteira cripto

• A seed phrase nunca é inserida em software
• Antes de instalar qualquer aplicativo relacionado a criptomoedas, verificar o desenvolvedor: nome, data de publicação, quantidade de avaliações
• Tratar com ceticismo aplicativos com poucas avaliações ou data de publicação recente
• Usar um dispositivo separado para operar com valores elevados
• Verificar regularmente endereços em cadastros de carteiras fraudulentas

Ferramentas que ajudam a se proteger

Reunimos algumas ferramentas que ajudam a trabalhar com criptomoedas de forma mais segura – e não apenas no contexto deste incidente.

Verificação AML de endereços. Antes de aceitar uma transferência de uma fonte desconhecida ou enviar fundos para um novo endereço, vale verificar seu histórico. Nosso verificador AML analisa endereços em Bitcoin, Ethereum, Tron e outras blockchains e mostra se o endereço está associado a esquemas fraudulentos conhecidos, mixers ou listas de sanções. Exatamente esse tipo de ferramenta ajudaria a identificar os endereços para onde foram os fundos das vítimas do Ledger falso – embora, neste caso, eles já fossem os destinatários finais, não os remetentes.

Comparação de exchanges. Parte das vítimas provavelmente mantinha ativos em hot wallets e usava exchanges para gerenciar o portfólio. Escolher uma exchange confiável também faz parte da segurança. Em nossa seção de análises de exchanges, reunimos avaliações atualizadas das principais plataformas, considerando suas políticas de segurança, fundos de seguro e histórico de incidentes.

Gestão de portfólio. Distribuir ativos entre diferentes carteiras e plataformas reduz os riscos. Se tudo estiver em um único lugar – um erro pode custar tudo. Nosso rastreador de portfólio ajuda a acompanhar ativos em diferentes endereços e exchanges em uma única interface, sem transmitir chaves privadas.

Por que os hardware wallets continuam sendo a melhor opção

A história do Ledger falso pode criar a falsa impressão de que hardware wallets não são confiáveis. Não é assim. O hardware wallet em si – o dispositivo – não foi hackeado. As chaves privadas de G. Love não vazaram de seu Ledger Nano. Ele perdeu o dinheiro porque inseriu a seed phrase em um aplicativo de terceiros – ou seja, entregou as chaves aos golpistas com as próprias mãos.

O hardware wallet funciona exatamente porque armazena as chaves offline. Se o usuário seguir as regras básicas de segurança – nunca inserir a seed phrase em formato digital, nunca instalar software não verificado – seus fundos estão protegidos, mesmo que o computador esteja infectado por vírus.

O problema não está na tecnologia. Está no fator humano e nas plataformas que assumem o papel de guardiãs, mas não conseguem cumpri-lo.

O que este incidente diz sobre a maturidade do setor

As criptomoedas percorreram um longo caminho, dos fóruns sobre Bitcoin até produtos financeiros mainstream. Mas junto com o crescimento do público cresce também a atratividade para os golpistas. $9,5 milhões roubados de 50+ pessoas em uma semana – não é um incidente menor. É uma campanha organizada com infraestrutura preparada, voltada para explorar a confiança em uma grande empresa de tecnologia.

O setor reage de formas diferentes. Uns pedem maior responsabilidade das plataformas. Outros relembram os fundamentos: not your keys, not your coins, e nunca confie sua seed phrase a um aplicativo. Ambas as posições estão corretas – e não se contradizem.

Enquanto reguladores e plataformas debatem responsabilidades, cada usuário pode se proteger por conta própria. Isso exige conhecimento e atenção – mas não habilidades técnicas de desenvolvedor.

O que fazer agora

Se você tem um hardware wallet – verifique de onde baixou o aplicativo que o acompanha. Se foi de uma loja de aplicativos, e não do site oficial do fabricante, remova-o e baixe novamente da fonte correta. A seed phrase não precisa ser inserida em nenhum momento nesse processo.

Se você está pensando em migrar para o armazenamento a frio – ainda é a melhor forma de proteger valores elevados. O essencial é entender as regras uma vez, em vez de confiar no primeiro aplicativo que parece ser o legítimo.

Você pode verificar seus endereços quanto a riscos agora mesmo – em nosso verificador AML. E se estiver escolhendo uma carteira ou quiser comparar opções de armazenamento, acesse nossa seção de análises de carteiras – reunimos avaliações atualizadas de soluções de hardware e software, considerando segurança, usabilidade e redes suportadas.

G. Love perdeu seu fundo de aposentadoria por um único erro de alguns segundos. A história é dolorosa – mas mostra com clareza onde passa a fronteira entre segurança e catástrofe. Essa fronteira passa pela seed phrase.