45 種加密貨幣錢包在 App Store 中危及用戶資金

• Igor Korsakov，BlueWallet 的首席技術官，對 494 款應用進行了審核。
• 研究將 23 個關鍵案例和 22 個高嚴重性案例的威脅級別區分開來。

對 App Store 中 494 款加密貨幣錢包的技術分析，這些錢包來自於總共 904 款註冊為非託管的應用，顯示出 45 款存在嚴重的安全漏洞。

這項研究由 BlueWallet 的首席技術官 Igor Korsakov 進行，發現幾乎每 10 款經審核的 iOS 應用中就有 1 款暴露了用戶的資金。報告 記錄了 Apple 商店中其他具體的攻擊向量：

• 將秘密短語、助記詞和私鑰發送到遠端數據庫，如 Firestore、Heroku 或外部域名。在曝光的案例中，Aura: Bitcoin Wallet 的公開代碼在 GitHub 上暗示了本地執行，但其在 iOS 上的商業二進制文件將恢復數據發送到伺服器 coffer.agency。

• 加密不良：在集中式伺服器上創建助記詞，並使用可預測的數學函數（如 Math.random 用於 BIP39 標準），消除了錢包安全所需的熵。

• 遠端執行：未簽名的 JavaScript 模組從外部伺服器加載，未檢查是否被攻擊者篡改。

在實踐中，這些缺陷使自我保管的基本承諾失效：對數字資產的獨占控制。使用這些易受攻擊的應用時，用戶的私鑰，等同於保險箱的鑰匙，暴露於未經授權的傳輸到外部伺服器。

此外，通過可預測的數學公式生成恢復短語使第三方能夠計算或猜測訪問組合，為無需所有者互動的遠程資金清空打開了大門。

<<可能存在假陽性，且應用未出現在列表中並不意味著其 100% 安全>>，Korsakov 在其發表於 kek.lol 的報告中澄清道。

為了審核 904 款註冊的錢包，Korsakov 通過 ipatool 工具提取應用包，並進行靜態代碼檢查，專注於 JavaScript，並得到 Grok 4.6 xhigh 模型的支持。
Korsakov 的報告將 23 款加密貨幣錢包分類為關鍵，22 款為高風險。圖片由 Gemini 創建。

實際影響：這些缺陷對用戶意味著什麼？

這一發現再次質疑 Apple 的安全審查。儘管 App Store 承諾提供封閉且安全的環境，但這並不是第一次其控制措施失敗。

在 2026 年 5 月，Kaspersky 公司在 iOS 中檢測到 26 款假應用，冒充知名品牌如 MetaMask 和 Coinbase。Apple 面臨法律訴訟，因為出現了一款假冒的 Sparrow Wallet 應用，導致 180 萬美元的比特幣被盜。

截至目前，Apple 尚未對被指控的應用撤回作出回應。

該報告重新引發了關於在連接到互聯網的移動環境中單一簽名解決方案脆弱性的討論。面對大型應用商店的脆弱性，技術建議如下：

• 僅使用移動應用進行查詢：將手機錢包僅配置為準備交易和查看餘額，並不在設備上存儲私鑰。

• 僅使用手機應用進行查詢：不將私鑰保存在手機上。將移動錢包僅配置為準備交易和查看餘額，並要求最終授權（簽名）始終從與互聯網斷開的物理設備（如 Keystone 或 Foundation Devices）進行。

研究人員 Korsakov 警告使用單一設備保管資金的風險，並建議採用多簽名方案來保護數字資產。來源：X / overtorment。

無論如何，最近關於 App Store 的揭露確認了 比特幣和加密貨幣生態系統的安全性正處於關鍵階段，標誌著攻擊向量的增多。

然而，Igor Korsakov 的分析揭示了一種新的網絡安全動態，即使用人工智慧如 Grok 4.6 xhigh 在短時間內審核數百個應用的能力。

這種自動化能力使獨立研究人員能夠大規模檢測隱藏的缺陷，正是惡意行為者用來完善其欺詐性產品、自動化惡意軟體創建和以空前的速度尋找代碼漏洞的手段。

因此，數字保管的戰鬥不再僅僅是用戶與網絡罪犯之間的對抗，而是 人工智慧的兩面在不斷競爭，以預先發現下一個安全漏洞。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。