L'App Store d'Apple a retiré une fausse application de trading Padre Terminal que l'enquêteur blockchain Iris a identifiée comme le vecteur ayant servi à compromettre le portefeuille de cryptomonnaies d'une victime. Dans l'ensemble de l'opération, Iris a recensé environ 23 000 $ dérobés à partir de 27 portefeuilles Solana, mais le mode de compromission des autres portefeuilles reste inconnu.
Dans son rapport du 29 octobre 2026, BleepingComputer a rapporté la découverte d'Iris selon laquelle l'application iOS contrefaite vide les fonds lorsque les utilisateurs importent leurs clés privées. Les vols signalés ont commencé le 25 octobre 2026 et se sont poursuivis après la disparition de la fiche : le dernier vol cité a eu lieu à 17 h 06 UTC, le 29 octobre.
Le service usurpé, anciennement appelé Padre, servait principalement à échanger des meme coins sur Solana avant de devenir Terminal chez pump.fun. Selon Iris, ce service de trading ne fonctionne que sur le web, si bien que les applications mobiles qui prétendent le proposer sont des usurpations malveillantes.
Lors de ses premières investigations, BleepingComputer a trouvé deux fiches utilisant le nom Padre. La distinction compte : l'application d'identifiant 6802739263 était le drainer identifié par Iris, tandis que la publication considérait que l'identifiant 6717572591 correspondait probablement à l'application officielle de pump.fun, disponible depuis octobre 2024. La fiche malveillante renvoie désormais une erreur 404.
Iris a indiqué à BleepingComputer que l'application contrefaite pourrait charger son interface de trading à distance. Il ne s'agit que d'une suspicion : l'enquêteur n'avait pas directement vu l'écran de vidange des portefeuilles.
Des fonds déplacés pendant que les vols continuaient
Iris a retracé les cryptomonnaies volées jusqu'à l'adresse Solana 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN.
Le 29 octobre, selon l'enquêteur, l'attaquant a échangé la totalité des USDC restants — 4 070 jetons — contre du SOL, ce qui écartait la possibilité que Circle gèle ces fonds. Un transfert ultérieur a envoyé 192 SOL vers H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu.
Ensemble, ces deux portefeuilles contenaient 229,66 SOL au moment de la mise à jour d'Iris. L'enquêteur n'avait signalé aucune conversion en espèces à ce stade. Les vols qui se sont poursuivis montrent aussi que le retrait de la fiche sur l'App Store n'a pas mis fin à l'opération signalée, même si les voies d'accès utilisées pour compromettre les autres portefeuilles restent non élucidées.
D'autres usurpateurs mis en cause
Iris a signalé quatre autres usurpateurs présumés de marques de cryptomonnaies : Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools et Pump Fun Tokens & Analitycs. Iris n'a pas confirmé de manière indépendante le vol de cryptomonnaies impliquant ces quatre applications.
BleepingComputer a relevé environ 25 avis sur Axiom Pro: Focus faisant état de vols de portefeuilles depuis février. Un internaute a affirmé que l'application ressemblait auparavant à une plateforme de trading de meme coins avant de devenir une application de concentration. D'autres avis faisaient état de pertes de 2 000 $ via GMGN AI et de 2 020 $ via HyperTerminal-HyperliquidTools. Pump Fun Tokens & Analitycs apparaissait comme une application de notes, mais un avis l'accusait aussi de vol de cryptomonnaies.
Selon Iris, un script présent sur un faux site Axiom listait des adresses backend associées aux usurpateurs d'Axiom, d'Aster et de GMGN, ce qui laisse supposer une opération commune. Padre Terminal n'était pas lié à ce groupe. Un script du site GMGN bloquait aussi les visiteurs de plusieurs pays de la CEI, ce qui, selon Iris, pourrait traduire une volonté d'éviter les utilisateurs de ces pays.
BleepingComputer a indiqué qu'Apple n'avait pas répondu à ses questions sur les cinq applications au moment de la publication. La publication conseille d'accéder aux fiches de l'App Store via les sites officiels des projets, et d'éviter les applications qui ont peu de téléchargements ou d'avis, ainsi que les éditeurs dont le nom semble sans rapport avec le projet.
