אפליקציה בשם Sparrow Wallet חיכתה ב-App Store עם אייקון מוכר וכמה ביקורות. מי שהתקין אותה והזין את מילות השחזור של הארנק גילה תוך דקות שכל הביטקוין נעלם. הבעיה שמתחת לכל זה פשוטה: ל-Sparrow, ארנק ביטקוין אמיתי ומוכר, אין בכלל גרסה לאייפון. כל מה שהופיע בחנות תחת השם הזה היה זיוף.

מה קרה

שלושה אנשים הגישו בשבוע שעבר תביעה נגד אפל בקליפורניה, אחרי שאיבדו יחד כ-1.8 מיליון דולר בביטקוין. לפי כתב התביעה שהוגש ב-24 ביולי, כל אחד מהם הוריד מה-App Store אפליקציה שהתחזתה ל-Sparrow Wallet, והתבקש להקליד לתוכה את מילות השחזור שלו, אותה סדרה קבועה של מילים שהיא למעשה המפתח היחיד לארנק המטבעות. ברגע שהמילים הוקלדו, מי שעמד מאחורי האפליקציה העביר את הכספים לארנקים שבשליטתו. תובע אחד איבד כ-875 אלף דולר, שני כ-840 אלף, והשלישי כ-120 אלף.

האפליקציה המקורית קיימת רק למחשב, ל-Windows, ל-macOS ול-Linux, ומעולם לא יצאה לאייפון. קרייג ראו, המפתח של Sparrow, מזהיר מפני זיופים בחנות של אפל כבר מינואר 2024, אבל לפי התביעה הם המשיכו לצוץ שם שוב ושוב. אפל מסרה בתגובה שהיא הסירה את האפליקציות המתחזות וסגרה את חשבונות המפתחים שמאחוריהן, ושאפשר לדווח על הונאות דרך שירות הדיווח שלה. בשלב הזה מדובר בטענות שבתביעה, ואפל עוד לא הגישה את הגנתה בבית המשפט.

למה זה חשוב לכם

גם בישראל אנשים מחזיקים מטבעות דיגיטליים ומורידים אפליקציות מאותה חנות, מתוך הנחה שאם משהו יושב ב-App Store אפל כבר בדקה אותו. המקרה הזה מראה כמה ההנחה הזאת מסוכנת. חנות רשמית מסננת הרבה, אבל לא הכול, וזיוף משכנע יכול לשבת שם חודשים לפני שמורידים אותו. הכלל שמגן עליכם קצר: ארנק מטבעות אמיתי אף פעם לא צריך שתקלידו לתוכו את מילות השחזור של ארנק קיים. המילים האלה הן הסיסמה לכל הכסף, ומי שמבקש אותן, גם אם הוא נראה כמו אפליקציה ותיקה, מנסה לרוקן אתכם.

מה עושים?

הורידו ארנק מטבעות רק אחרי שבדקתם באתר הרשמי של הפרויקט לאיזו מערכת הוא בכלל קיים. אם האתר הרשמי אומר שאין גרסה לאייפון, כל "אפליקציה" כזאת בחנות היא זיוף, ולא משנה כמה היא נראית אמיתית.

אל תקלידו את מילות השחזור לשום אפליקציה או אתר שלא אתם יזמתם את הקשר איתם ממקור מוודא. שחזור ארנק הוא פעולה נדירה, לא משהו שאפליקציה טרייה צריכה מכם מיד עם ההתקנה.

הסתכלו על שם המפתח בעמוד האפליקציה, על מספר ההורדות ועל תאריך הפרסום. שם מפתח שאתם לא מזהים מתחת למותג גדול, או אפליקציה חדשה לגמרי עם מעט הורדות, הם דגל אדום.

אם כבר הקלדתם מילות שחזור לאפליקציה חשודה, העבירו מיד את הכספים לארנק חדש עם מילות שחזור חדשות. ברגע שהמילים דלפו, הארנק הישן כבר לא בטוח.

בחנות אפליקציות, כמו בכל חנות, הבדיקה האחרונה לפני שמשהו נכנס למכשיר עדיין תלויה בכם.