Apple ha retirado de la App Store una app falsa de trading Padre Terminal que el investigador de blockchain Iris identificó como la vía usada para comprometer la cartera de criptomonedas de una víctima. Iris rastreó unos 23.000 dólares robados de 27 carteras de Solana en la operación más amplia, pero se desconoce cómo se comprometieron las demás carteras.
En su informe del 29 de octubre de 2026, BleepingComputer recogió la conclusión de Iris de que la app falsa para iOS vacía los fondos cuando los usuarios importan sus claves privadas. Los robos atribuidos a la operación comenzaron el 25 de octubre de 2026 y continuaron después de que desapareciera la ficha: el robo más reciente citado ocurrió a las 17:06 UTC del 29 de octubre.
El servicio suplantado, antes llamado Padre, se utilizaba principalmente para operar con memecoins en Solana antes de pasar a llamarse Terminal pump.fun. Según Iris, ese servicio de trading funciona solo en la web, por lo que las apps móviles que dicen ofrecerlo son suplantaciones maliciosas.
Durante su investigación inicial, BleepingComputer encontró dos fichas que usaban el nombre Padre. La diferencia es importante: el ID de app 6802739263 era el drenador identificado por Iris, mientras que la publicación consideró probable que el ID 6717572591 correspondiera a la app oficial de pump.fun, disponible desde octubre de 2024. La ficha maliciosa ahora muestra un error 404.
Iris dijo a BleepingComputer que la app falsa podría cargar su interfaz de trading de forma remota. Sigue siendo una sospecha: el investigador no había visto directamente la pantalla que vacía las carteras.
Los fondos se movieron mientras continuaban los robos
Iris rastreó las criptomonedas robadas hasta la dirección de Solana 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN.
El 29 de octubre, según el investigador, el atacante cambió todo el USDC restante —4.070 tokens— por SOL, eliminando la posibilidad de que Circle congelara esos fondos. Una transferencia posterior envió 192 SOL a H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu.
Entre ambas carteras sumaban 229,66 SOL en el momento de la actualización de Iris. El investigador no informó de ninguna salida de fondos hasta ese momento. Los robos continuados también muestran que retirar la ficha de App Store no había puesto fin a la operación denunciada, aunque las vías de entrada de las demás carteras comprometidas siguen sin resolverse.
Otros suplantadores generan denuncias
Iris señaló otros cuatro presuntos suplantadores de marcas de criptomonedas: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools y Pump Fun Tokens & Analitycs. Iris no había confirmado de forma independiente el robo de criptomonedas relacionado con esas cuatro aplicaciones.
BleepingComputer describió unas 25 reseñas de Axiom Pro: Focus que denunciaban robos de carteras desde febrero. Un usuario afirmó que antes parecía una plataforma para operar con memecoins, antes de convertirse en una app de concentración. Otras reseñas denunciaban pérdidas de 2.000 dólares con GMGN AI y de 2.020 dólares con HyperTerminal-HyperliquidTools. Pump Fun Tokens & Analitycs aparecía como una app de notas, pero también tenía una reseña que la acusaba de robar criptomonedas.
Según Iris, un script en un sitio web falso de Axiom enumeraba direcciones de backend asociadas a suplantadores de Axiom, Aster y GMGN, lo que sugiere una operación compartida. La app Padre Terminal no estaba vinculada a ese grupo. Un script del sitio web de GMGN también bloqueaba a visitantes de varios países de la CEI, lo que Iris sugirió que podría reflejar un intento de evitar usuarios de esa zona.
BleepingComputer indicó que Apple no había respondido a sus preguntas sobre las cinco aplicaciones antes de la publicación. La publicación aconsejó a los usuarios acceder a las fichas de la App Store a través de los sitios web oficiales de los proyectos y evitar las apps con pocas descargas o reseñas, o editores cuyos nombres parezcan no tener relación con el proyecto.
