Nep-Ledger Live-app in Apple App Store steelt $9,5 miljoen aan crypto van 50+ slachtoffers

Een nep-versie van de populaire Ledger Live-app is van 7 tot en met 13 april 2026 via de Apple App Store verspreid en heeft minstens $9,5 miljoen aan cryptovaluta gestolen. Meer dan 50 slachtoffers op meerdere blockchains werden geraakt, nadat zij onbewust hun recovery phrases invoerden in de frauduleuze applicatie.

Hoe de aanval werkte

Ledger is een van de grootste fabrikanten van hardware wallets ter wereld. De officiële Ledger Live-app stelt gebruikers in staat hun crypto-assets te beheren via hun hardware wallet. De nep-app imiteerde deze software en vroeg gebruikers bij het instellen om hun recovery phrase in te voeren, de reeks van 24 woorden die volledige toegang geeft tot een wallet.

Wie die woorden invoerde, gaf aanvallers direct en onomkeerbare toegang tot alle bijbehorende wallets. Dit type aanval staat bekend als recovery phrase phishing: de gebruiker denkt de legitieme app te bedienen, maar geeft in werkelijkheid zijn privésleutels weg. Daarna hoeven aanvallers geen wachtwoord te kraken; ze bezitten de wallet volledig.

De phishing-app wist door Apple's bekende review-proces te komen, een systeem waarop miljoenen gebruikers wereldwijd vertrouwen als veiligheidsgarantie. Dat dit mogelijk was, is op zichzelf veelzeggend voor de betrouwbaarheid van die controle.

Drie grootste individuele diefstallen

Blockchain-onderzoeker ZachXBT traceerde de gestolen fondsen via een reeks on-chain transacties en identificeerde de volgende grootste individuele diefstallen:

De gestolen fondsen werden getraceerd naar KuCoin deposit-adressen en zijn gelinkt aan een gecentraliseerde witwasservice die de naam AudiA6 draagt. De schade strekte zich uit over meerdere blockchains: Bitcoin, Ethereum, Solana, Tron en XRP.

"All my BTC gone in an instant"

Het menselijk gezicht van deze aanval is X-gebruiker @glove, die 5,92 BTC verloor, zijn volledige spaargeld dat hij in tien jaar had opgebouwd. Hij downloadde de nep-app bij het instellen van een nieuwe computer.

"I lost my retirement fund in a hack/scam… All my BTC gone in an instant."

ZachXBT toonde aan dat zijn 5,92 BTC via meerdere tussenstappen naar KuCoin deposit-adressen werden overgemaakt, in lijn met het bredere witwaspatroon dat bij dit incident is geïdentificeerd.

Apple en KuCoin reageren niet

Zowel Apple als KuCoin hebben niet gereageerd op verzoeken om commentaar. De nep-app was op het moment van publicatie al verwijderd uit de App Store, maar slachtoffers die de app eerder installeerden en hun recovery phrase invoerden, hebben hun fondsen al verloren. Die transacties zijn onomkeerbaar.

Zo bescherm je jezelf

Concrete stappen om dit risico te vermijden:

• Download Ledger Live uitsluitend via ledger.com. Ga niet af op zoekresultaten in de App Store.
• Voer je recovery phrase nooit in via een app, welke app dan ook. Ledger vraagt daar nooit om bij normaal gebruik.
• Controleer de naam en uitgever van de app zorgvuldig voor installatie. Fraudeurs gebruiken vrijwel identieke namen en iconen.
• Behandel je 24 woorden als contant geld in een kluis. Ze geven onbeperkte toegang tot je volledige portfolio.

Vooruitblik

ZachXBT's on-chain onderzoek naar de witwasstromen via AudiA6 en KuCoin loopt nog. Het is onduidelijk of Apple aanvullende maatregelen neemt voor het reviewen van crypto-gerelateerde apps. KuCoin kan in theorie medewerking verlenen aan onderzoek naar de deposit-adressen, maar heeft zich tot nu toe niet uitgesproken.

Bronnen: ZachXBT (Telegram Investigations), @glove (X)

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel, beleggings- of fiscaal advies. Today in Finance is geen beleggingsonderneming en beschikt niet over een vergunning als bedoeld in de Wet op het financieel toezicht (Wft). Raadpleeg altijd een gekwalificeerd financieel adviseur voordat je financiele beslissingen neemt. Today in Finance is niet aansprakelijk voor beslissingen genomen op basis van deze informatie.

Cryptovaluta zijn niet gereguleerd en zeer volatiel. Je kunt je volledige inleg verliezen.