Aplikasi palsu yang menyamar sebagai Ledger Live di Apple App Store diduga menjadi penyebab hilangnya aset kripto senilai sekitar US$9,5 juta atau setara Rp162 miliar. Temuan itu diungkap peneliti onchain ZachXBT, yang mengaitkan insiden tersebut dengan lebih dari 50 korban dalam waktu singkat.
Dalam unggahan di Telegram pada Selasa (14/4/2026), ZachXBT menyebut pencurian terjadi pada periode 7–13 April 2026. Serangan tersebut dilaporkan menyasar berbagai jaringan aset kripto, termasuk Bitcoin, Ethereum, Solana, Tron, hingga XRP Ledger.
ZachXBT juga melaporkan dana hasil pencurian diduga dicuci melalui lebih dari 150 alamat deposit yang terkait dengan KuCoin. Ia menambahkan, aliran dana itu teridentifikasi terhubung dengan layanan mixer kripto terpusat bernama AudiA6.
Dalam laporannya, ZachXBT menyoroti beberapa kasus dengan nilai kerugian terbesar. Salah satu korban disebut kehilangan sekitar US$1,95 juta atau setara Rp33 miliar dalam bentuk Bitcoin, Ether (ETH), dan staked Ether (stETH).
Korban lain dilaporkan kehilangan US$3,23 juta atau sekitar Rp55 miliar dalam bentuk USDT pada 9 April. Sementara itu, korban ketiga disebut mengalami kerugian sekitar US$2 juta atau setara Rp34 miliar dalam bentuk USDC pada 11 April.
Aplikasi palsu tersebut dilaporkan telah dihapus oleh Apple pada 13 April. Namun, hingga kini belum ada konfirmasi resmi dari Apple maupun KuCoin terkait temuan tersebut.
ZachXBT turut menyoroti peningkatan aktivitas ilegal yang dikaitkan dengan KuCoin dalam beberapa waktu terakhir. Menurutnya, hal itu terjadi setelah platform tersebut dilaporkan dilarang menerima pengguna baru dari Uni Eropa pada Februari, tidak lama setelah memperoleh lisensi MiCA.
Ia juga mempertanyakan apakah insiden ini dapat menjadi dasar gugatan hukum terhadap Apple, mengingat aplikasi berbahaya tersebut sempat lolos proses kurasi di App Store.
Kasus ini kembali menegaskan risiko aplikasi palsu yang tampil meyakinkan. Dalam banyak kejadian, korban tanpa sadar memasukkan seed phrase atau frasa pemulihan ke dalam aplikasi berbahaya, yang kemudian dimanfaatkan pelaku untuk mengakses dan menguras aset kripto.
Chief Technology Officer Ledger, Charles Guillemet, menegaskan perusahaan tidak pernah meminta pengguna memasukkan 24 kata recovery phrase ke dalam aplikasi apa pun. Ia juga mengingatkan pengguna agar tidak sepenuhnya mempercayai lingkungan digital, termasuk aplikasi yang tersedia di platform resmi, karena pelaku kejahatan siber dapat memanfaatkan celah bahkan di kanal distribusi seperti App Store.
Insiden serupa disebut pernah terjadi sebelumnya. Seorang musisi asal Amerika Serikat, Garrett Dutton atau dikenal sebagai G. Love, dilaporkan kehilangan sekitar US$420.000 atau setara Rp6,6 miliar setelah mengunduh aplikasi palsu yang menyamar sebagai Ledger Live. Dalam kasus tersebut, korban juga memasukkan seed phrase ke dalam aplikasi, yang kemudian digunakan pelaku untuk menguras seluruh aset kriptonya.
