Uma nova auditoria técnica a aplicações de carteiras de criptomoedas na App Store da Apple concluiu que quase uma em cada dez apresenta falhas de segurança graves capazes de expor os fundos dos utilizadores, uma descoberta que deverá preocupar os detentores europeus que recorrem a aplicações móveis para gerir ativos em autocustódia.
A análise, publicada no kek.lol e da autoria de Igor Korsakov, diretor de tecnologia da BlueWallet, examinou 494 das 904 aplicações de carteiras não-custodiais registadas na App Store. Das analisadas, 45 foram assinaladas por problemas que incluem fugas de dados, encriptação fraca e execução remota de código não assinado — vulnerabilidades que poderiam permitir que chaves privadas ou frases de recuperação caíssem em mãos erradas.
A metodologia de Korsakov recorreu ao ipatool para extrair os pacotes das aplicações para inspeção, com revisão estática de código assistida pelo modelo de IA Grok 4.6 xhigh. Segundo a infografia do relatório, 23 das aplicações assinaladas foram classificadas como tendo uma vulnerabilidade crítica, enquanto 22 foram classificadas como de risco elevado.
Um dos exemplos citados no relatório é a Aura: Bitcoin Wallet, que a auditoria encontrou a enviar dados de recuperação para um servidor externo gerido pela coffer.agency, uma prática que contraria a premissa básica do armazenamento não-custodial, em que apenas o utilizador deve controlar as suas chaves.
Cautela quanto a falsos positivos
Korsakov alertou que as conclusões não devem ser tratadas como prova definitiva de perigo para todas as aplicações que não constam da lista, nem como garantia de segurança para as que ficaram de fora. "Pode haver falsos positivos, e uma aplicação não aparecer na lista não significa que seja 100% segura", afirmou.
Korsakov também apelou a que os utilizadores não depositem confiança cega num único dispositivo ou fornecedor quando se trata de chaves privadas. "Nunca confie numa única chave privada a um único dispositivo, ou a um único fornecedor. Podem deixá-la vazar, ou podem gerá-la incorretamente", disse, recomendando que as carteiras móveis sejam usadas apenas para consultar saldos ou preparar transações, mantendo as chaves reais em dispositivos de hardware offline, como os fabricados pela Keystone ou pela Foundation Devices.
Um padrão mais amplo de risco na App Store
A auditoria surge num contexto de incidentes de segurança recorrentes ligados à oferta de aplicações cripto na App Store. A Kaspersky detetou 26 aplicações falsas para iOS que se faziam passar pela MetaMask e pela Coinbase em maio de 2026, e uma versão fraudulenta da aplicação Sparrow Wallet para iOS terá custado aos utilizadores 1,8 milhões de dólares em Bitcoin roubado, um esquema que já motivou processos judiciais contra a Apple. A Apple não comentou se tenciona remover as aplicações assinaladas na auditoria de Korsakov.
Para os utilizadores europeus, que recorrem cada vez mais a soluções de custódia orientadas para o telemóvel nas transações cripto do dia a dia, as conclusões reforçam um princípio de segurança já conhecido: a comodidade de um smartphone não deve ser conseguida à custa do local onde a chave privada realmente reside.
