🗓️ Contexte

Source : BleepingComputer, publié le 29 octobre 2026. L’investigateur blockchain Iris a identifié et signalé une application iOS frauduleuse sur l’Apple App Store, usurpant l’identité de la plateforme de trading de meme coins Padre Terminal (renommée Terminal by pump.fun).

🎯 Nature de l’attaque

L’application malveillante, référencée sous l’ID App Store 6802739263, se présentait comme un outil de trading de cryptomonnaies sur la blockchain Solana. Elle incitait les utilisateurs à importer leurs clés privées, qu’elle exfiltrait ensuite pour vider les wallets. L’interface de trading était probablement servie à distance (remotely), selon Iris.

💸 Impact financier

  • 27 wallets Solana drainés depuis le 25 octobre 2026
  • Montant total volé : environ 23 000 $
  • Le 29 octobre 2026, l’attaquant a converti 4 070 USDC en SOL pour éviter un gel des fonds par Circle
  • 192 SOL transférés vers un second wallet
  • Total combiné des deux wallets : 229,66 SOL, non encore liquidés au moment de la publication

🔗 Indicateurs associés

  • Wallet de collecte principal : 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN
  • Wallet secondaire : H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu
  • L’app a été retirée de l’App Store mais le drainer restait actif après suppression (dernier vol signalé à 17h06 UTC le 29 octobre 2026)

🕵️ Cluster d’applications suspectes

Iris a identifié cinq applications suspectes sur l’App Store usurpant des marques crypto :

  1. Padre Terminal (confirmé drainer)
  2. Axiom Pro: Focus
  3. GMGN AI
  4. HyperTerminal-HyperliquidTools
  5. Pump Fun Tokens & Analitycs

Un script commun sur le faux site Axiom relie les impersonateurs d’Axiom, Aster et GMGN à un opérateur commun. Padre Terminal n’est pas rattaché à ce cluster. Le script du site GMGN bloque les visiteurs de plusieurs pays de la CEI, suggérant une volonté d’éviter de cibler ces régions.

📰 Type d’article

Article de presse spécialisée rapportant un incident de fraude crypto via une application mobile malveillante distribuée sur une plateforme officielle, avec des IoC blockchain et des éléments d’attribution partielle.

🧠 TTPs et IOCs détectés

TTP

  • T1204.002 — User Execution: Malicious File (Execution)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1657 — Financial Theft (Impact)

Malware / Outils

  • Padre Terminal (fake app) (stealer)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 11981 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/fake-crypto-app-on-apple-app-store-linked-to-23k-wallet-theft/