45款加密货币钱包在App Store中危及用户资金

• BlueWallet的首席技术官Igor Korsakov对494款应用进行了审计。
• 研究将23个关键案例和22个高严重性案例区分开来。

对在App Store中注册的494款加密货币钱包进行的技术分析显示，其中45款存在严重的安全漏洞。

该研究由BlueWallet的首席技术官Igor Korsakov进行，发现近十分之一的iOS应用暴露了用户的资金。报告记录了在Apple商店中其他具体攻击向量：

• 将秘密短语、助记词和私钥发送到远程数据库，如Firestore、Heroku或外部域名。曝光的案例中，Aura: Bitcoin Wallet引人注目，其在GitHub上的公开代码暗示了本地执行，但其在iOS上的商业二进制文件将恢复数据发送到服务器coffer.agency。

• 加密不当：在集中服务器上创建种子短语，并使用可预测的数学函数（如Math.random用于BIP39标准），消除了钱包安全所需的熵。

• 远程执行：从外部服务器加载未签名的JavaScript模块，而未验证其是否被攻击者篡改。

在实践中，这些缺陷否定了自我保管的基本承诺：对数字资产的独占控制。使用这些易受攻击的应用程序时，用户的私钥，相当于保险箱的访问钥匙，暴露于未经授权的传输到外部服务器。

此外，通过可预测的数学公式生成恢复短语使得第三方能够计算或猜测访问组合，为远程清空资金打开了大门，而无需所有者的互动。

<<可能存在误报，且某个应用未出现在列表中并不意味着其100%安全>>，Korsakov在其发布于kek.lol的报告中澄清道。

为了审计904款注册钱包，Korsakov通过ipatool提取应用包，并进行了静态代码检查，专注于JavaScript，支持Grok 4.6 xhigh模型。
Korsakov的报告将23款加密货币钱包分类为关键，22款为高风险。图像由Gemini创建。

实际影响：这些缺陷对用户意味着什么？

这一发现再次质疑了Apple的安全审查。尽管App Store承诺提供一个封闭和安全的环境，但这并不是第一次其控制措施失败。

在2026年5月，Kaspersky公司在iOS上发现了26款假冒应用，冒充MetaMask和Coinbase等知名品牌。Apple在一款假冒Sparrow Wallet应用出现后面临法律诉讼，该应用导致180万美元的比特币被盗。

到目前为止，Apple尚未对被指控的应用程序的撤回做出回应。

该报告重新引发了关于在连接到互联网的移动环境中单一签名解决方案脆弱性的讨论。面对大型应用商店的脆弱性，技术建议如下：

• 仅使用移动应用进行查询：仅将手机钱包配置为准备交易和查看余额，而不在设备上存储私钥。

• 仅使用手机应用进行查询：不要在手机上保存私钥。仅将移动钱包配置为准备交易和查看余额，并要求最终授权（签名）始终在与互联网断开的物理设备上进行（如Keystone或Foundation Devices）。

研究人员Korsakov警告使用单一设备保管资金的风险，并建议采用多签名方案来保护数字资产。来源：X / overtorment。

无论如何，最近关于App Store的揭示确认了比特币和加密货币生态系统的安全性正处于关键阶段，标志着攻击向量的增加。

然而，Igor Korsakov的分析揭示了一种新的网络安全动态，即使用人工智能如Grok 4.6 xhigh在创纪录的时间内审计数百个应用程序。

这种自动化能力使独立研究人员能够大规模检测隐藏的缺陷，而恶意行为者也利用这一能力来完善其欺诈性产品，自动化恶意软件的创建，并以前所未有的速度寻找代码漏洞。

因此，数字保管的斗争不仅是用户与网络犯罪分子之间的对抗，更是人工智能的两个面向在不断竞争，以抢先应对下一个安全漏洞。