Co według pozwu się wydarzyło?
Trzej użytkownicy bitcoina złożyli pozew przeciwko Apple. Zgodnie z podaniem pobrana z App Store aplikacja, która podszywała się pod portfel Sparrow Wallet, miała opróżnić ich konta. Łącznie mieli stracić około 1,84 miliona dolarów (podają CryptoSlate i Incrypted).
Sparrow Wallet to portfel bitcoinowy z wbudowaną przeglądarką blockchaina. Oficjalnie jest dostępny dla Windows, macOS i Linux (według Incrypted). Kluczowy szczegół całej sprawy: poszkodowani według pozwu wpisali do fałszywej aplikacji swoje frazy seed (zapasową sekwencję słów, która daje pełną kontrolę nad portfelem). W ten sposób atakujący uzyskali dostęp do środków.
Dlaczego powodowie celują bezpośrednio w Apple?
Pozew, złożony 24 lipca w Kalifornii, obwinia Apple o zaniedbanie przy weryfikacji i usuwaniu aplikacji w App Store (podaje CryptoSlate). Sednem argumentacji jest sprzeczność między tym, jak Apple prezentuje swój sklep jako bezpieczne i godne zaufania miejsce dla oprogramowania, a tym, że przez jego proces kontroli przedostała się oszukańcza aplikacja.
Według pozwu nie chodziło przy tym o jednorazową porażkę:
- Ostrzeżenia przed fałszywymi aplikacjami Sparrow pojawiały się według CryptoSlate już od ponad dwóch lat.
- Zgodnie z tytułem i ramami źródeł deweloper miał ostrzegać Apple przez mniej więcej rok. Dokładne udokumentowanie tej osi czasu nie wynika z dostępnych podsumowań, dlatego prowadzimy ją jako niepotwierdzoną.
Najpoważniejszy punkt: aplikacja pozostała online także po zgłoszeniu kradzieży
Najmocniejsze twierdzenie pozwu opisują CoinDesk oraz CrypS.pl. Według nich Apple pozostawił fałszywą aplikację w App Store jeszcze ponad tydzień po tym, jak jeden z użytkowników zgłosił kradzież bitcoina o wartości 875 000 dolarów. W tym czasie według pozwu miał stracić około 840 000 dolarów kolejny użytkownik.
Innymi słowy: zgodnie z podaniem drugiej dużej kradzieży dałoby się zapobiec, gdyby Apple zareagował na pierwsze zgłoszenie szybciej. To dokładnie ten typ twierdzenia, który będzie oceniał sąd.
Oś czasu i finansowa (według pozwu)
| Element | Dane | Źródło |
|---|---|---|
| Data złożenia pozwu | 24 lipca, Kalifornia | CryptoSlate |
| Całkowita zgłoszona strata | ~1,84 mln USD | CryptoSlate, Incrypted |
| Pierwsza zgłoszona kradzież | ~875 000 USD | CoinDesk, CrypS.pl |
| Druga kradzież po zgłoszeniu | ~840 000 USD | CoinDesk |
| Czas, przez który aplikacja pozostała online po zgłoszeniu | ponad tydzień | CrypS.pl, CoinDesk |
| Wcześniejsze ostrzeżenia przed fałszywym Sparrow | ponad 2 lata | CryptoSlate |
Co na razie nie jest potwierdzone
Chodzi o pozew, czyli o twierdzenia jednej strony, a nie o fakty udowodnione przez sąd. Z dostępnych źródeł nie wynika:
- Jak Apple reaguje na oskarżenia i jaka jest jego wersja osi czasu.
- Kto dokładnie stał za fałszywą aplikacją i czy atakujący zostali zidentyfikowani.
- Czy i jak dokładnie aplikacja obeszła proces kontroli App Store.
- Konkretna nazwa fałszywej aplikacji i jak długo dokładnie była dostępna.
Te punkty uzupełnimy, gdy pojawią się zweryfikowane informacje, najlepiej bezpośrednio z akt sądowych lub z oświadczenia Apple.
Na co uważać w tego typu przypadkach
To nie jest porada, co robić z pieniędzmi, lecz opis mechaniki, która w podobnych przypadkach się powtarza:
- Fraza seed to wszystko. Legalny portfel nigdy nie wymaga od ciebie wpisywania frazy seed do przypadkowej aplikacji w celu "odzyskania" czy "weryfikacji". Kto ma frazę seed, ma środki.
- Oficjalny kanał dystrybucji to nie to samo co bezpieczeństwo. Obecność aplikacji w App Store według tej sprawy automatycznie nie gwarantuje, że chodzi o prawdziwą aplikację danego projektu.
- Naśladownictwa znanych marek. Fałszywe aplikacje często kopiują nazwę, ikonę i opis znanego projektu. Sparrow jest tego według CryptoSlate wielokrotnym celem.
Dlaczego to śledzimy
Istotą sporu jest odpowiedzialność operatora sklepu z aplikacjami za szkody, które powstają za pośrednictwem jego platformy. Wynik może wskazać, na ile można prawnie obwiniać platformę za oszukańcze aplikacje, które przeszły przez jej kontrolę. To jest mierzalne: albo sąd uwzględni pozew, oddali go, albo strony dojdą do porozumienia. Do tego wrócimy.