Apples App Store hat eine gefälschte Handels-App Padre Terminal entfernt. Der Blockchain-Ermittler Iris hatte sie als Weg identifiziert, über den die Kryptowallet eines Opfers kompromittiert wurde. Iris verfolgte rund 23.000 Dollar, die im Rahmen der gesamten Operation aus 27 Solana-Wallets gestohlen wurden. Wie die übrigen Wallets kompromittiert wurden, bleibt jedoch unbekannt.
In seinem Bericht vom 29. Oktober 2026 berichtete BleepingComputer über Iris’ Befund, dass die gefälschte iOS-App Geld abzieht, sobald Nutzer ihre privaten Schlüssel importieren. Die gemeldeten Diebstähle der Operation begannen am 25. Oktober 2026 und setzten sich fort, nachdem der Eintrag verschwunden war. Der jüngste genannte Diebstahl ereignete sich am 29. Oktober um 17:06 UTC.
Der nachgeahmte Dienst, früher Padre genannt, wurde vor der Umbenennung in Terminal by pump.fun hauptsächlich für den Handel mit Meme-Coins auf Solana genutzt. Laut Iris wird dieser Handelsdienst nur im Web betrieben. Mobile Apps, die ihn angeblich anbieten, sind daher bösartige Imitationen.
BleepingComputer fand bei seiner ersten Recherche zwei Einträge mit dem Namen Padre. Der Unterschied ist wichtig: Die App-ID 6802739263 war der von Iris identifizierte Drainer, während die Redaktion die ID 6717572591 für wahrscheinlich die offizielle, seit Oktober 2024 verfügbare App von pump.fun hielt. Der bösartige Eintrag liefert nun einen 404-Fehler.
Iris sagte BleepingComputer, die gefälschte App lade ihre Handelsoberfläche möglicherweise aus der Ferne. Das bleibt eine Vermutung, denn der Ermittler hatte den Bildschirm, über den Wallets geleert werden, nicht selbst gesehen.
Gelder werden verschoben, während Diebstähle weitergehen
Iris verfolgte die gestohlenen Kryptowährungen bis zur Solana-Adresse 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN.
Laut dem Ermittler tauschte der Angreifer am 29. Oktober sämtliche verbliebenen USDC – 4.070 Token – in SOL und nahm Circle so die Möglichkeit, diese Gelder einzufrieren. Eine anschließende Überweisung schickte 192 SOL an H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu.
Zusammen enthielten diese beiden Wallets zum Zeitpunkt von Iris’ Aktualisierung 229,66 SOL. Der Ermittler meldete bis dahin keinen Cash-out. Die fortgesetzten Diebstähle zeigen zudem, dass das Entfernen des App-Store-Eintrags die gemeldete Operation nicht beendet hatte. Die Einstiegswege für die übrigen kompromittierten Wallets bleiben allerdings ungeklärt.
Weitere Nachahmer unter Verdacht
Iris meldete vier weitere mutmaßliche Nachahmer bekannter Krypto-Marken: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools und Pump Fun Tokens & Analitycs. Krypto-Diebstähle bei diesen vier Apps hatte Iris nicht unabhängig bestätigt.
BleepingComputer beschrieb rund 25 Bewertungen zu Axiom Pro: Focus, die seit Februar den Diebstahl von Wallets anprangern. Ein Rezensent schrieb, die App sei früher offenbar eine Handelsplattform für Meme-Coins gewesen, bevor sie zu einer Focus-App wurde. Weitere Bewertungen behaupteten Verluste von 2.000 Dollar durch GMGN AI und 2.020 Dollar durch HyperTerminal-HyperliquidTools. Pump Fun Tokens & Analitycs trat als Notiz-App auf, hatte aber auch eine Bewertung, die der App Krypto-Diebstahl vorwarf.
Laut Iris listete ein Skript auf einer gefälschten Axiom-Website Backend-Adressen, die mit Nachahmern von Axiom, Aster und GMGN in Verbindung stehen. Das deutet auf einen gemeinsamen Betrieb hin. Padre Terminal war mit dieser Gruppe nicht verbunden. Ein Skript auf der GMGN-Website blockierte zudem Besucher aus mehreren GUS-Staaten. Iris zufolge könnte das ein Versuch sein, Nutzer dort auszuschließen.
BleepingComputer teilte mit, Apple habe bis zur Veröffentlichung die Fragen zu den fünf Apps nicht beantwortet. Die Redaktion rät Nutzern, App-Store-Einträge über die offiziellen Websites der Projekte aufzurufen. Apps mit wenigen Downloads oder Bewertungen sowie Herausgeber, deren Namen mit dem Projekt offenbar nichts zu tun haben, sollten sie meiden.
