Padre war ursprünglich eine Handelsplattform, die vor allem zum Kauf und Verkauf von Meme-Coins auf Solana genutzt wurde. Später wurde der Dienst in Terminal by pump.fun umbenannt — pump.fun ist eine Plattform zum Erstellen, Kaufen und Verkaufen von Meme-Coins auf der Solana-Blockchain. Laut Iris funktioniert der legitime Dienst ausschließlich im Browser; jede mobile App, die ihn nachahmt, sei daher bösartig.
Zum Zeitpunkt der ersten Untersuchung fanden sich zwei Padre-Apps im App Store (ID 6802739263 und ID 6717572591). Die erste war die von Iris bestätigte Drainer-App, die zweite ist vermutlich die offizielle Anwendung von pump.fun, die seit Oktober 2024 verfügbar ist. Die schädliche Padre-Terminal-App wurde inzwischen aus dem App Store entfernt, ihr Eintrag liefert nun einen 404-Fehler.
Iris vermutet, dass die Handelsoberfläche der gefälschten App aus der Ferne ausgeliefert wird, konnte den eigentlichen Wallet-Leerungs-Bildschirm aber nicht direkt beobachten.
Nach Angaben der Ermittlerin wurden seit dem 25. Oktober 2026 insgesamt 27 Solana-Wallets geleert und dabei rund 23.000 US-Dollar in Kryptowährung erbeutet. Die gestohlenen Mittel ließen sich zur Solana-Adresse 3LAgKYoNenWrGWT3U4XWhpgVJWyYkP9wKpiPk8TJT1LN zurückverfolgen. Am 29. Oktober wandelte der Angreifer alle verbliebenen USDC-Bestände (4.070 Token) in SOL um und entzog sie damit einer möglichen Einfrierung durch Circle. Anschließend überwies er 192 SOL an eine neue Wallet (H84yazsUVCF8eJ6brh27rURMHjdKEVv2BuLS4iuUUQbu). Beide Adressen hielten zusammen 229,66 SOL; zum Zeitpunkt der Aktualisierung durch die Forscherin war noch kein Geld ausgezahlt worden.
Der Drainer blieb auch nach der Entfernung der App aktiv — der zuletzt gemeldete Diebstahl ereignete sich am 29. Oktober um 17:06 UTC.
Weitere verdächtige Apps im App Store
Iris identifizierte mindestens fünf mutmaßliche Nachahmer bekannter Krypto-Marken im App Store: Padre Terminal, Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools und Pump Fun Tokens & Analitycs. Deren Einträge wirken mit harmlosen Beschreibungen unauffällig, in den Nutzerbewertungen darunter wird jedoch teils offengelegt, dass die Apps Wallets leeren oder betrügen.
Die App Axiom Pro: Focus etwa hat seit Februar rund 25 Nutzerbewertungen, die Wallet-Diebstahl behaupten. Ein Rezensent schrieb, die App habe sich zunächst als Meme-Coin-Handelsplattform ausgegeben und sei später zu einer Fokus-Anwendung geworden. Eine Bewertung zu GMGN AI spricht von 2.000 US-Dollar Verlust, eine Bewertung zu HyperTerminal-HyperliquidTools von 2.020 US-Dollar. Pump Fun Tokens & Analitycs präsentiert sich als Notiz-App, wurde in einer Bewertung aber ausdrücklich des Kryptodiebstahls bezichtigt.
Auf der gefälschten Axiom-Website fand Iris zudem ein Skript mit Backend-Adressen, die mit Axiom-, Aster- und GMGN-Nachahmern verknüpft sind — ein Hinweis auf einen gemeinsamen Betreiber. Padre Terminal gehört nach ihren Erkenntnissen nicht zu diesem Cluster. Ein Skript auf der GMGN-Website blockiert Besucher aus mehreren GUS-Staaten, was darauf hindeuten könnte, dass die Angreifer Nutzer in diesen Regionen meiden wollen. Für die vier weiteren verdächtigen Apps hat Iris einen Kryptodiebstahl nicht unabhängig bestätigt.
Apple wurde zu dem Padre-Drainer und den vier anderen verdächtigen Apps angefragt, eine Antwort lag bis zur Veröffentlichung nicht vor.
Ein vergleichbarer Fall trat im März 2024 auf, als eine gefälschte App der Krypto-Wallet Leather im Apple App Store auftauchte; mehrere Nutzer berichteten über Verluste, nachdem sie ihre Wallets damit verbunden hatten. Apple entfernte die App schließlich zwei Wochen später und sperrte den Herausgeber aus seinem Entwicklerprogramm.
Empfohlen wird, dem App-Store-Link stets von der offiziellen Website des jeweiligen Projekts aus zu folgen und Apps mit nur wenigen Downloads und Bewertungen oder von Herausgebern mit scheinbar völlig unzusammenhängenden Namen nicht zu installieren.