Apple сталкивается с новой волной критики из-за своего строго контролируемого App Store: трое держателей биткойнов утверждают, что потеряли 1,8 миллиона долларов из-за поддельного криптокошелька. Это лишь очередное пополнение растущего списка вредоносных приложений-кошельков, которые попадают к пользователям, несмотря на процесс проверки компании.
В исковом заявлении, поданном 24 июля в Калифорнии, Apple обвиняется в ненадлежащей проверке и удалении приложений, выдающих себя за Sparrow Wallet, при этом продвигая App Store как безопасный и надежный источник программного обеспечения.
Это дело следует за предупреждениями, датируемыми более чем двумя годами ранее, о поддельных приложениях Sparrow, и происходит через несколько месяцев после того, как исследователи выявили 26 приложений, выдающих себя за крупные криптобренды в экосистеме Apple.
В совокупности эти инциденты ставят под сомнение один из давних аргументов Apple в пользу сохранения жесткого контроля над распространением программного обеспечения: что проверка приложений перед их попаданием к пользователям обеспечивает лучшую защиту от мошенничества и вредоносного ПО.
Разработчик Sparrow предупреждал Apple более чем за год до убытков
Ответственность Apple в данном случае заключается не столько в первоначальном появлении мошеннического приложения, сколько в том, что компания якобы знала о проблеме до того, как пострадали последующие жертвы.
Основатель Sparrow Крейг Роу с начала 2024 года сообщал о несанкционированных мобильных версиях своего кошелька. Sparrow — это продукт, предназначенный только для настольных компьютеров, поэтому приложение для iPhone с таким названием не должно было требовать сложного технического расследования для идентификации как подделка.
Тем не менее, в жалобе говорится, что варианты с названием Sparrow продолжали появляться в App Store в течение следующего года.
Первый истец, упомянутый в иске, Джален Дельгадо, предположительно скачал одно из таких приложений в мае 2025 года. После ввода своей seed-фразы он потерял чуть более 1 BTC, стоимость которого на момент подачи иска составляла около 120 000 долларов.
Предполагаемое уведомление Apple стало более прямым два месяца спустя.
Джеймс Рамирес утверждает, что потерял 7,4 BTC, стоимостью примерно 875 000 долларов, воспользовавшись другим поддельным приложением Sparrow 25 июля 2025 года. В тот же день он сообщил об этом приложении и краже в Apple.
Девять дней спустя Кристофер Эллис предположительно наткнулся на приложение Sparrow через App Store. Согласно жалобе, он ввел свою восстановительную фразу и потерял криптоактивы на сумму около 840 000 долларов.
Эта последовательность событий является центральной для дела истцов. Они утверждают, что к моменту, когда пострадал Эллис, Apple имела дело не просто с ранее сообщенным случаем выдачи себя за бренд. Компания якобы получила новое сообщение, связывающее конкретный поддельный кошелек с крупной кражей биткойнов.
В жалобе далее утверждается, что Apple сделала больше, чем просто распространяла приложение. Предполагается, что платформа ранжировала поддельное приложение Sparrow и включала его в подборки криптовалютных приложений, потенциально повышая доверие и охват программного обеспечения, маскирующегося под известный кошелек.
Согласно исковому заявлению:
«Несмотря на многочисленные сообщения в Apple о том, что ее App Store размещает мошеннические и опасные приложения, Apple не предупредила потребителей о том, что в App Store появились поддельные приложения-кошельки, включая фальшивые приложения Sparrow, и они представляют серьезный риск кражи криптовалюты, seed-фраз, приватных ключей, учетных данных кошелька и другой конфиденциальной информации учетной записи».
Apple заявляет, что удалила мошеннические приложения Sparrow и заблокировала учетные записи разработчиков, ответственных за них.
Компания также указала на свои каналы отчетности и заявила, что действует, когда приложения нарушают правила App Store.
Однако опыт Роу иллюстрирует трудности, с которыми сталкиваются легитимные разработчики, пытаясь остановить подделки.
В прошлом месяце Роу сообщил, что он подал базовый список для iOS, предназначенный для информирования пользователей о том, что у Sparrow нет официальной мобильной версии.
По словам Роу, Apple изначально расценила эту заявку как потенциально вводящую в заблуждение и предупредила, что его учетная запись разработчика может быть закрыта, прежде чем позже изменить свое решение.
Этот эпизод добавляет еще один аспект к аргументам иска: Apple, предположительно, испытывала трудности не только с тем, чтобы не допускать подделок, но и с тем, чтобы отличить настоящего разработчика кошелька от тех, кто злоупотреблял его брендом.
Проблема поддельных кошельков в App Store Apple выходит за рамки Sparrow
Спор вокруг Sparrow является частью более широкой волны мошенничества с криптокошельками, нацеленного на пользователей Apple.
В апреле компания Kaspersky Threat Research сообщила, что выявила 26 мошеннических приложений, имитирующих криптобренды, включая MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken и Bitpie.
Кампания была активна как минимум с осени 2025 года и, по данным компании, занимающейся кибербезопасностью, с умеренной уверенностью связывалась с злоумышленниками, стоящими за SparkKitty.
Атака была более сложной, чем просто публикация вредоносного кошелька напрямую через App Store.
Kaspersky обнаружила, что приложения могли перенаправлять жертв на фишинговые страницы, разработанные так, чтобы имитировать торговую площадку Apple, и убеждать их установить профили разработчиков. Эти профили затем могли использоваться для установки троянизированных версий криптокошельков вне App Store.
После установки вредоносное программное обеспечение нацеливалось на учетные данные, контролирующие активы пользователей.
Для горячих кошельков вредоносное ПО отслеживало экраны восстановления или создания кошелька на предмет seed-фраз. Злоумышленники, получившие эти слова, могли получить контроль над средствами жертвы.
Пользователи холодных кошельков сталкивались с аналогичной угрозой социальной инженерии. Мошенническое программное обеспечение, имитирующее интерфейсы аппаратных кошельков, могло убедить жертв раскрыть восстановительные учетные данные, которые никогда не должны вводиться в непроверенное приложение.
Кампания в основном была нацелена на пользователей китайского App Store Apple, где официальные версии некоторых кошельков, которые подделывались, были недоступны.
Однако значительные убытки, связанные с программным обеспечением поддельных кошельков, также были зафиксированы в Соединенных Штатах.
Американский музыкант Гарретт Даттон, более известный как G. Love, в апреле заявил, что потерял 5,9 BTC после загрузки того, что он считал легитимным программным обеспечением Ledger из App Store Apple.
Даттон ввел свою восстановительную фразу по запросу приложения. Его биткойны, стоившие на тот момент около 424 000 долларов, впоследствии были переведены.
Исследователь блокчейна ZachXBT отследил украденные активы до адресов депозитов, связанных с криптобиржей KuCoin, которая временно заморозила предполагаемый счет на время расследования инцидента.
Этот случай очень похож на утверждения, лежащие в основе иска Sparrow: пользователи столкнулись с программным обеспечением, носящим имя известного криптокошелька через экосистему Apple, доверились ему достаточно, чтобы ввести восстановительные учетные данные, и потеряли контроль над своими активами.
Криптомошенничество ставит под сомнение заявления Apple о безопасности App Store
Повторяющиеся инциденты все чаще вступают в противоречие с тем, как Apple позиционирует свой контроль над распространением программного обеспечения.
Apple описывает App Store как «безопасное и надежное место» и заявляет, что приложения проходят процесс проверки, предназначенный для защиты пользователей от мошенничества, вредоносного ПО и других угроз безопасности.
Это обещание также подкрепляет более широкую защиту Apple своей строго управляемой экосистемы.
Компания утверждала, что разрешение неконтролируемой загрузки сторонних приложений может ослабить защиту конфиденциальности и безопасности на ее устройствах, в то время как ее централизованный процесс проверки позволяет перехватывать потенциально опасное программное обеспечение до того, как оно достигнет клиентов.
Криптокошельки представляют собой особенно сложную проверку для этой модели, поскольку приложению не обязательно требуется сложное вредоносное ПО, чтобы вызвать необратимую потерю.
Убедительной имитации может быть достаточно.
Seed-фразы обычно предоставляют контроль над активами, связанными с самостоятельно хранимым кошельком. Как только пользователь вводит эти слова в вредоносное программное обеспечение, злоумышленники могут перевести активы на контролируемые ими адреса, при этом ни один банк или платежный процессор не сможет отменить транзакцию.
Это делает воспринимаемую легитимность, передаваемую маркетплейсом приложений, особенно важной для криптопользователей.
Истцы по делу Sparrow утверждают, что собственные заявления Apple побудили их поверить, что программное обеспечение, распространяемое через App Store, было достаточно проверено. Они добиваются возмещения украденных активов, а также компенсационного и штрафного ущерба, реституции и возмещения судебных издержек.
Они также хотят, чтобы Apple улучшила и публично раскрыла свои процедуры обнаружения мошеннических приложений и ввела предупреждения о рисках, связанных с приложениями для криптовалют.
Остается неясным, несет ли Apple юридическую ответственность за убытки, и компания может оспорить как доверие истцов к ее заявлениям о безопасности, так и их решение вводить конфиденциальные восстановительные учетные данные в стороннее программное обеспечение.
Apple также указывает на масштаб угроз, которые предотвращает ее процесс проверки.
В прошлом году компания сообщила, что App Store заблокировал более 9 миллиардов долларов потенциально мошеннических транзакций в период с 2020 по 2024 год, включая более 2 миллиардов долларов только в 2024 году.
В течение 2024 года Apple заявила, что отклонила почти 2 миллиона заявок на приложения, которые не соответствовали стандартам безопасности, надежности и пользовательского опыта, а также заблокировала более 146 000 учетных записей разработчиков по подозрению в мошенничестве и отклонила еще 139 000 попыток регистрации разработчиков.
Эти цифры показывают масштаб вредоносной деятельности, которую Apple пытается держать за пределами своей экосистемы. Они также подчеркивают риски, когда мошенническое финансовое программное обеспечение все же проникает.
Для криптопользователей, где передача одной восстановительной фразы может привести к безвозвратной потере всего кошелька, растущий список подделок ставит под сомнение, насколько уверенно можно доверять значку App Store от Apple.
Facebook*, Instagram* и WhatsApp* принадлежат компании Meta* Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
