L'App Store di Apple ha rimosso un'app di trading contraffatta, "Padre Terminal", che l'investigatore blockchain Iris ha identificato come il percorso usato per compromettere il wallet di criptovalute di una vittima. Iris ha tracciato circa 23.000 dollari rubati da 27 wallet Solana nell'operazione più ampia, ma non si sa ancora come siano stati compromessi gli altri wallet.
Nel rapporto del 29 ottobre 2026, BleepingComputer ha riportato il risultato di Iris secondo cui l'app iOS falsa svuota i fondi quando gli utenti importano le proprie chiavi private. I furti attribuiti all'operazione sono iniziati il 25 ottobre 2026 e sono proseguiti anche dopo la scomparsa della scheda: l'ultimo furto citato è avvenuto alle 17:06 UTC del 29 ottobre.
Il servizio impersonato, in precedenza chiamato Padre, era usato soprattutto per fare trading di meme coin su Solana prima di diventare Terminal su pump.fun. Secondo Iris, quel servizio di trading funziona solo sul web, quindi le app mobili che dichiarano di offrirlo sono imitazioni dannose.
Durante l'indagine iniziale, BleepingComputer ha trovato due schede che usano il nome Padre. La distinzione è importante: l'app con ID 6802739263 era il drainer identificato da Iris, mentre la pubblicazione riteneva che l'ID 6717572591 corrispondesse probabilmente all'app ufficiale di pump.fun, disponibile dall'ottobre 2024. La scheda dannosa ora restituisce un errore 404.
Iris ha detto a BleepingComputer che l'app contraffatta potrebbe caricare la propria interfaccia di trading da remoto. Resta però un sospetto: l'investigatore non ha visto direttamente la schermata che svuota il wallet.
Fondi spostati mentre i furti continuavano
Iris ha ricondotto le criptovalute rubate all'indirizzo Solana 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN.
Il 29 ottobre, secondo l'investigatore, l'aggressore ha scambiato tutti gli USDC rimanenti, 4.070 token, con SOL, eliminando così la possibilità che Circle congelasse quei fondi. Un trasferimento successivo ha inviato 192 SOL all'indirizzo H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu.
Al momento dell'aggiornamento di Iris, i due wallet contenevano insieme 229,66 SOL. Fino a quel momento l'investigatore non aveva segnalato prelievi in contanti. I furti proseguiti dimostrano inoltre che la rimozione della scheda dall'App Store non ha fermato l'operazione segnalata, anche se resta da chiarire come siano stati compromessi gli altri wallet.
Altri sospetti impostori
Iris ha segnalato altri quattro presunti impostori di marchi crypto: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools e Pump Fun Tokens & Analitycs. Iris non ha confermato in modo indipendente furti di criptovalute legati a queste quattro app.
BleepingComputer ha descritto circa 25 recensioni di Axiom Pro: Focus che denunciano furti di wallet da febbraio. Un recensore ha raccontato che in precedenza l'app sembrava una piattaforma di trading di meme coin, prima di diventare un'app focus. Altre recensioni denunciavano perdite di 2.000 dollari tramite GMGN AI e di 2.020 dollari tramite HyperTerminal-HyperliquidTools. Pump Fun Tokens & Analitycs compariva come app per appunti, ma aveva anche una recensione che la accusava di furto di criptovalute.
Secondo Iris, uno script presente su un sito Axiom falso elencava indirizzi backend associati a impostori di Axiom, Aster e GMGN, a indicare un'operazione condivisa. Padre Terminal non risultava collegata a quel gruppo. Anche uno script sul sito di GMGN bloccava i visitatori di diversi Paesi della CSI, il che, secondo Iris, potrebbe riflettere il tentativo di evitare utenti in quelle aree.
BleepingComputer ha riferito che, al momento della pubblicazione, Apple non aveva risposto alle sue domande sulle cinque app. La testata consiglia agli utenti di raggiungere le schede dell'App Store passando dai siti web ufficiali dei progetti, e di evitare app con pochi download o recensioni, oppure editori i cui nomi sembrano non avere alcun legame con il progetto.
