Padre era una plataforma de trading de criptomonedas, utilizada principalmente para comprar y vender meme coins en Solana. Posteriormente fue renombrada como Terminal por pump.fun, una plataforma centrada en la creación, compra y venta de "meme coins" de criptomonedas en la blockchain de Solana.

Iris afirma que el servicio legítimo de trading de Padre, ahora Terminal by pump.fun, es solo web, por lo que cualquier aplicación móvil que se haga pasar por ella, incluida la que estuvo disponible anteriormente en la App Store, es maliciosa.

En el momento de la investigación inicial, se encontraron dos aplicaciones de Padre en la App Store (ID 6802739263 e ID 6717572591). La primera era la aplicación vaciadora confirmada por Iris, mientras que la segunda es probablemente la aplicación oficial de pump.fun, activa desde octubre de 2024.

La aplicación maliciosa de vaciado de criptomonedas en la App Store.

La aplicación maliciosa Padre Terminal ha sido eliminada desde entonces de la App Store, y su enlace ahora devuelve un error 404.

Iris sospecha que la interfaz de trading de la aplicación falsa se sirve de forma remota, pero no ha observado directamente la pantalla de vaciado de la billetera.

Según Iris, la operación ha vaciado 27 billeteras de Solana desde el 25 de octubre de 2026, robando aproximadamente 23.000 dólares en criptomonedas. Las criptomonedas robadas fueron rastreadas hasta la dirección de Solana 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN.

Iris afirma que el atacante convirtió todos los USDC restantes (4.070 tokens) en SOL el 29 de octubre, eliminando la posibilidad de que Circle congelara esos fondos.

El atacante transfirió entonces 192 SOL a una nueva billetera (H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu). Según Iris, las dos billeteras contenían un total de 229,66 SOL, sin que se hubieran retirado fondos en efectivo en el momento de la actualización del investigador.

El vaciador permaneció activo después de la eliminación de la aplicación, produciéndose el último robo reportado a las 17:06 UTC del 29 de octubre.

más aplicaciones sospechosas en la app store

Iris identificó al menos cinco posibles impostores de marcas de criptomonedas en la App Store, incluidos Padre Terminal, Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools y Pump Fun Tokens & Analitycs.

Sus descripciones parecen inofensivas, pero las reseñas de los usuarios a veces revelan su verdadera naturaleza, exponiéndolas por robo de billeteras y estafas.

La aplicación Axiom Pro: Focus, por ejemplo, tenía aproximadamente 25 reseñas de usuarios alegando robo de billeteras desde febrero. Un revisor afirmó que la aplicación se presentó como una plataforma de trading de meme coins antes de convertirse en una aplicación de enfoque.

Una reseña de la aplicación GMGN AI alegó que habían sido robados 2.000 dólares, mientras que una reseña asociada con HyperTerminal-HyperliquidTools informó del robo de 2.020 dólares.

Otra aplicación, Pump Fun Tokens & Analitycs, se presentaba como una aplicación de notas pero tenía una reseña que la acusaba explícitamente de robar criptomonedas.

Dos aplicaciones sospechosas que Iris descubrió en la App Store.

Iris también encontró un script en el sitio web falso de Axiom que contenía direcciones de backend asociadas con impostores de Axiom, Aster y GMGN, lo que sugiere un operador común. Sin embargo, Padre Terminal no estaba vinculado a ese grupo.

Además, un script en el sitio web de GMGN bloquea a los visitantes de varios países de la CEI, lo que podría indicar que los atacantes intentan evitar dirigirse a usuarios de esas regiones.

Iris no ha confirmado independientemente el robo de criptomonedas para las cuatro aplicaciones sospechosas.

Se ha contactado a Apple sobre el vaciador de Padre y las otras cuatro aplicaciones sospechosas disponibles en la App Store, pero no hemos recibido respuesta hasta la fecha de publicación.

En marzo de 2024, apareció en la App Store de Apple una aplicación falsa de billetera de criptomonedas Leather, y múltiples usuarios informaron la pérdida de sus activos tras conectar sus billeteras a ella.

Apple finalmente eliminó la aplicación dos semanas después y bloqueó al editor de su programa de desarrolladores.

Se recomienda a los usuarios seguir los enlaces a la App Store desde los sitios web oficiales de los proyectos y evitar instalar aplicaciones con muy pocas descargas y reseñas, o aquellas publicadas por entidades con nombres que parezcan completamente ajenos al proyecto.

Fuente:
BleepingComputer