45 Carteras de Criptomonedas en la App Store Ponen en Riesgo los Fondos de los Usuarios

• Igor Korsakov, CTO de BlueWallet, auditó un universo de 494 aplicaciones en la tienda.
• El estudio diferenciaba el nivel de amenaza en 23 casos críticos y 22 de alta gravedad.

Un análisis técnico de 494 carteras de criptomonedas en la App Store, extraído de un total de 904 aplicaciones registradas como no custodiales, reveló que 45 de ellas contienen graves fallos de seguridad.

El estudio, realizado por Igor Korsakov, CTO de BlueWallet, identificó que casi 1 de cada 10 aplicaciones auditadas en iOS expone los fondos de los usuarios. El informe documenta otros vectores de ataque específicos en la tienda de Apple:

• Envío de frases secretas, semillas mnemotécnicas y claves privadas a bases de datos remotas como Firestore, Heroku o dominios externos. Entre los casos expuestos se encuentra Aura: Bitcoin Wallet, cuyo código público en GitHub sugiere ejecución local, pero su binario comercial en iOS envía datos de recuperación al servidor coffer.agency.

• Mala encriptación: creación de frases semilla en servidores centralizados y uso de funciones matemáticas predecibles (como Math.random para el estándar BIP39), eliminando la entropía necesaria para que la cartera sea segura.

• Ejecución remota: módulos de JavaScript sin firmar cargados desde servidores externos sin verificar si han sido alterados por un atacante.

En la práctica, estas deficiencias anulan la promesa fundamental de la autoconservación: el control exclusivo de los activos digitales. Al utilizar una de estas aplicaciones vulnerables, las claves secretas de los usuarios, equivalentes a las llaves de acceso a una caja fuerte, están expuestas a transmisiones no autorizadas a servidores externos.

Además, generar frases de recuperación utilizando fórmulas matemáticas predecibles permite a terceros calcular o adivinar combinaciones de acceso, abriendo la puerta al drenaje remoto de fondos sin requerir la interacción de los propietarios.

<<Puede haber falsos positivos, y una aplicación que no aparece en la lista no significa que sea 100% segura>>, aclaró Korsakov en su informe publicado en kek.lol.

Para auditar el universo de 904 carteras registradas, Korsakov extrajo paquetes de aplicaciones utilizando la herramienta ipatool y realizó una inspección de código estático, enfocándose en JavaScript, respaldado por el modelo Grok 4.6 xhigh.
El informe de Korsakov clasifica 23 carteras de criptomonedas como críticas y 22 con alta vulnerabilidad. Imagen creada usando Gemini.

El Verdadero Impacto: ¿Qué Significan Estos Fallos para los Usuarios?

El hallazgo genera dudas sobre la revisión de seguridad de Apple. Aunque la App Store promete un entorno cerrado y seguro, no es la primera vez que sus controles fallan.

En mayo de 2026, Kaspersky detectó 26 aplicaciones falsas en iOS que suplantaban marcas conocidas como MetaMask y Coinbase. Apple enfrenta demandas legales tras la aparición de una aplicación falsa de Sparrow Wallet que causó el robo de 1.8 millones de dólares en Bitcoin.

Hasta ahora, Apple no ha comentado sobre la eliminación de las aplicaciones señaladas.

El informe reaviva la discusión sobre la fragilidad de las soluciones de firma única en entornos móviles conectados a Internet. A la luz de la vulnerabilidad de las principales tiendas de aplicaciones, la recomendación técnica sugiere:

• Utilizar la aplicación móvil solo para consulta: Configurar la cartera del teléfono únicamente para preparar transacciones y verificar el saldo, sin almacenar claves secretas en el dispositivo.

• Utilizar la aplicación móvil solo para consulta: no almacenar claves secretas en el teléfono. Configurar la cartera móvil únicamente para preparar transacciones y verificar el saldo, y requerir que la autorización final (la firma) siempre se realice desde un dispositivo físico desconectado de Internet (como Keystone o Foundation Devices).

El investigador Korsakov advierte sobre los riesgos de utilizar un solo dispositivo para salvaguardar fondos y recomienda adoptar esquemas de multisignatura para proteger activos digitales. Fuente: X / overtorment.

En cualquier caso, también vale la pena señalar que las recientes revelaciones sobre la App Store confirman que la seguridad en el ecosistema de bitcoin y criptomonedas está atravesando una etapa crítica, marcada por la multiplicación de vectores de ataque.

Sin embargo, el análisis de Igor Korsakov descubre una nueva dinámica en la ciberseguridad, como el uso de inteligencia artificial como Grok 4.6 xhigh para auditar cientos de aplicaciones en tiempo récord.

Esta misma capacidad de automatización que ahora permite a investigadores independientes detectar fallos ocultos a gran escala es lo que los actores maliciosos utilizan para refinar sus ofertas engañosas, automatizar la creación de malware y encontrar brechas de código a una velocidad sin precedentes.

Por lo tanto, la batalla por la custodia digital ya no enfrenta solo a los usuarios contra los cibercriminales, sino también dos caras de la IA en una carrera constante para adelantarse al próximo fallo de seguridad.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.