Unas 45 billeteras de criptomonedas disponibles en la App Store presentan fallas de seguridad que exponen las claves privadas y los fondos de sus usuarios.
El hallazgo surge de una auditoría técnica realizada por Igor Korsakov, CTO de BlueWallet, quien revisó 494 de las 904 aplicaciones que se comercializan en la tienda de Apple como billeteras no custodiales.
En este tipo de apps, el usuario debería tener el control exclusivo de sus claves, no un tercero. Pero casi 1 de cada 10 aplicaciones auditadas tiene problemas: 23 casos fueron clasificados como críticos y 22 como de severidad alta.
El relevamiento identificó tres vectores de riesgo que comprometen la seguridad de las billeteras: envío de datos a servidores externos, generación defectuosa de claves y descarga de código no verificado.
El problema más extendido es el envío de información confidencial a bases de datos remotas. Muchas apps transmiten frases semilla, claves WIF y mnemónicos a servicios como Firestore, Heroku o dominios externos. Lo grave: en sus descripciones públicas aseguran que las claves nunca salen del dispositivo.
El investigador documentó tres mecanismos específicos de falla:
El segundo vector elimina la aleatoriedad necesaria para que una clave sea, en la práctica, imposible de adivinar. Una frase de recuperación generada con funciones predecibles puede ser reproducida por un atacante con los recursos suficientes.
El tercer riesgo involucra código que se carga después de la aprobación en la tienda. Algunas aplicaciones descargan módulos de JavaScript desde servidores externos una vez instaladas, sin validar la integridad del archivo ni verificar si fue modificado por un tercero malicioso.
Entre los 23 casos críticos figura Aura: Bitcoin Wallet, cuyo binario comercial envía los datos de recuperación al dominio coffer.agency. Su código público en GitHub, en cambio, sugiere una ejecución completamente local.
Otra app comprometida es Ybit: Crypto & DeFi Wallet, que transmite la frase mnemónica o la clave privada en texto plano junto con la dirección IP del usuario a Firebase. La información viaja sin cifrado de extremo a extremo.
También aparecen en la lista Bitcoin Wallet: BTC,ETH,USD, Cold Wallet: Crypto Wallet App y VeraBit: Bitcoin Wallet. Korsakov aclaró en su informe: "Pueden existir falsos positivos y que una app no aparezca en la lista no significa que sea 100% segura".
Estas son las 45 billeteras de criptomonedas que la auditoría de Igor Korsakov clasificó como vulnerables en la App Store:
El investigador advirtió que algunas aplicaciones mostraron comportamientos distintos entre su versión pública en repositorios de código y la versión binaria distribuida en la tienda. Esta discrepancia impide que usuarios técnicos validen lo que realmente ejecutan en sus dispositivos.
La disponibilidad de cada app en la App Store depende del país configurado en la cuenta de Apple del usuario. No es automática para todo el mundo ni uniforme en todas las regiones.
El informe agrupa los hallazgos bajo distintas tiendas regionales: Estados Unidos, Reino Unido, Alemania, Indonesia, Corea del Sur, Tailandia, Japón y Hong Kong. Esto indica que no todas las 45 apps figuran necesariamente en el catálogo argentino.
Quien quiera verificar si una billetera puntual está entre las descargables desde su cuenta debe buscarla directamente en su App Store local. Las restricciones geográficas de Apple hacen que el catálogo varíe según la región configurada en la cuenta del usuario, no según su ubicación física.
El hallazgo se suma a otros antecedentes recientes. En abril, Kaspersky identificó 26 aplicaciones falsas que suplantaban a billeteras conocidas como MetaMask, Ledger, Trust Wallet y Coinbase.
Esa campaña explotaba restricciones regionales de la tienda en algunos países. Los atacantes publicaban versiones fraudulentas en regiones donde las apps legítimas no estaban disponibles.
Apple, además, enfrenta una demanda en California por permitir la publicación de una versión falsa de Sparrow Wallet. Esa app fraudulenta le costó u$s1,8 millones a sus víctimas antes de ser removida de la tienda.
Korsakov recomienda no depender nunca de un único dispositivo ni de un único proveedor para resguardar una clave privada. "Nunca confíes en un solo dispositivo, ni en un solo proveedor, con una clave privada. Pueden filtrarla o pueden generarla incorrectamente", advirtió.
Para montos relevantes, sugiere esquemas de multifirma con dos o tres claves generadas en dispositivos de hardware de distintos fabricantes. El celular debe usarse solo para coordinar y proponer transacciones, nunca para almacenar la clave completa.
Otra recomendación es verificar el comportamiento de red de la billetera antes de depositar fondos. Herramientas como monitores de tráfico HTTP pueden revelar si una app envía datos a servidores externos durante la generación o el almacenamiento de claves.
El investigador también sugiere priorizar billeteras de código abierto con auditorías públicas y revisiones de la comunidad. La transparencia del código permite que desarrolladores independientes validen que las claves se generan y almacenan correctamente.