Pengguna Menggugat Apple atas Kerugian Lebih dari $1,8 Juta dari Dompet Kripto Palsu di App Store

Penulis: Oluwapelumi Adejumo

Diterjemahkan oleh: Saoirse, Foresight News

App Store Apple yang ketat kembali mendapat perhatian dari berbagai pihak. Sebelumnya, tiga pemegang Bitcoin mengklaim kehilangan $1,8 juta akibat aplikasi dompet kripto palsu. Aplikasi dompet jahat semacam ini sudah sering terjadi, meskipun Apple telah menerapkan beberapa lapisan mekanisme pemeriksaan, perangkat lunak penipuan tetap dapat mencapai pengguna.

Gugatan yang diajukan di California pada 24 Juli menuduh Apple gagal memenuhi kewajiban pemeriksaan yang memadai dengan tidak menarik berbagai aplikasi palsu yang meniru dompet Sparrow, sambil tetap mempromosikan App Store sebagai saluran unduhan perangkat lunak yang aman dan dapat dipercaya.

Lebih dari dua tahun yang lalu, sudah ada peringatan risiko terkait aplikasi palsu Sparrow. Beberapa bulan yang lalu, para peneliti masih menemukan 26 aplikasi palsu yang meniru merek-merek kripto utama di ekosistem Apple. Serangkaian kejadian berturut-turut ini membuat logika panjang yang dianut Apple mendapat tekanan: Apple berpendapat bahwa pengendalian ketat terhadap distribusi perangkat lunak dan tinjauan aplikasi sebelum pemasangan dapat meminimalkan penipuan dan perangkat lunak jahat.

Poin kunci dalam kasus ini di mana Apple harus bertanggung jawab bukanlah pada saat aplikasi penipuan pertama kali diluncurkan, tetapi pada kenyataan bahwa Apple sudah mengetahui risiko terkait sebelum korban selanjutnya menjadi korban penipuan.

Pendiri Sparrow, Craig Raw, terus melaporkan berbagai dompet palsu seluler yang tidak diotorisasi resmi sejak awal 2024. Sparrow sendiri hanya memiliki versi desktop komputer, sehingga seharusnya Apple tidak memerlukan pemindaian teknis yang rumit untuk mengidentifikasi aplikasi iPhone dengan nama yang sama sebagai produk palsu.

Namun, gugatan tersebut menunjukkan bahwa selama satu tahun setelahnya, berbagai aplikasi varian yang menyalahgunakan nama Sparrow terus muncul di App Store.

Plaintif pertama dalam gugatan, Jalen Delgado, mengatakan bahwa pada Mei 2025 ia mengunduh salah satu perangkat lunak palsu tersebut, memasukkan kata sandi pemulihan, dan kehilangan 1 BTC, dengan nilai aset tersebut sekitar $120.000 menurut gugatan.

Dua bulan kemudian, laporan pengguna kepada Apple menjadi lebih jelas. James Ramirez menyatakan bahwa pada 25 Juli 2025, ia menggunakan dompet palsu Sparrow lain dan mengalami kerugian sebesar 7,4 Bitcoin, senilai sekitar $875.000; ia melaporkan aplikasi tersebut serta kejadian pencurian tersebut kepada Apple pada hari yang sama.

Sembilan hari kemudian, Christopher Ellis juga menemukan aplikasi Sparrow di App Store, dan setelah memasukkan kata pemulihan, ia kehilangan aset kripto senilai sekitar $840.000.

Seluruh kronologi merupakan dasar utama gugatan pihak penggugat. Penggugat berpendapat bahwa ketika Ellis mengalami kerugian properti, Apple sudah menerima bukan hanya keluhan umum tentang peniruan merek, tetapi contoh spesifik yang membuktikan bahwa dompet palsu ini menyebabkan pencurian bitcoin dalam jumlah besar.

Keluhan tersebut lebih lanjut menunjukkan bahwa Apple tidak hanya menayangkan aplikasi palsu ini. Platform tersebut juga memberikan rekomendasi berprioritas tinggi untuk aplikasi Sparrow palsu tersebut, memasukkannya ke dalam kumpulan aplikasi kripto, secara tidak langsung meningkatkan kredibilitas perangkat lunak penipuan ini dan memperluas jangkauan penyebarannya.

Dokumen hukum menyatakan: "Pengguna telah beberapa kali melaporkan kepada Apple bahwa terdapat aplikasi berisiko tinggi penipuan di App Store. Namun, Apple tidak memperingatkan konsumen tentang munculnya berbagai aplikasi palsu seperti Sparrow di App Store, maupun memberi tahu pengguna bahwa perangkat lunak semacam ini sangat mudah menyebabkan pencurian cryptocurrency, kata sandi pemulihan, kunci pribadi, akun dompet, serta berbagai informasi pribadi lainnya."

Apple merespons dengan menyatakan bahwa seluruh aplikasi Sparrow palsu yang terlibat telah dihapus, dan akun pengembang terkait telah diblokir. Apple juga menyatakan bahwa platform tersebut memiliki saluran pelaporan khusus, dan akan mengambil tindakan jika aplikasi terbukti melanggar aturan toko.

Namun, pengalaman Craig Raw dalam mempertahankan haknya menunjukkan betapa sulitnya pengembang resmi memberantas kekacauan peniruan merek. Bulan lalu, Craig Raw mengungkapkan bahwa ia telah mengajukan informasi publik di platform iOS untuk memberi tahu pengguna bahwa Sparrow tidak memiliki versi seluler resmi. Namun, awalnya Apple menilai informasi publik tersebut memiliki potensi menyesatkan, bahkan memperingatkan kemungkinan pemblokiran akun pengembangnya, sebelum akhirnya membatalkan penilaian tersebut.

Peristiwa ini juga menambahkan argumen baru dalam gugatan: Apple tidak hanya gagal menghentikan perangkat lunak palsu, tetapi bahkan kesulitan membedakan pengembang resmi dari pengembang penipu yang meniru merek.

Perselisihan terkait Sparrow hanyalah puncak gunung es dari penipuan peniruan dompet kripto yang dialami pengguna Apple.

Tim Penelitian Ancaman Kaspersky merilis laporan pada bulan April yang mengidentifikasi total 26 aplikasi penipuan yang meniru merek kripto populer, termasuk MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken, dan Bitpie.

Aplikasi pemalsuan kripto di Apple App Store (sumber: Kaspersky)

Kaspersky menyatakan bahwa kampanye penipuan ini setidaknya aktif sejak musim gugur 2025, dengan kemungkinan tinggi terkait dengan pelaku di balik organisasi jaringan SparkKitty.

Metode penipuan ini jauh lebih kompleks daripada sekadar mendaftarkan dompet jahat. Penipu menggunakan alih aplikasi untuk mengarahkan pengguna ke halaman phishing yang meniru App Store Apple, mendorong pengguna untuk menginstal profil pengembang; dengan profil semacam ini, penipu dapat melewati App Store dan menginstal versi modifikasi dompet kripto yang membawa trojan.

Setelah instalasi perangkat lunak selesai, program jahat akan berusaha penuh untuk mencuri semua kredensial yang mengendalikan aset pengguna. Untuk dompet panas, trojan akan memantau halaman pembuatan dompet dan pemulihan kata sandi; setiap kali pengguna memasukkan kata sandi, peretas dapat menguasai seluruh dana. Pengguna dompet dingin juga tidak dapat menghindari jebakan penipuan sosial: perangkat lunak jahat yang meniru antarmuka dompet perangkat keras akan menipu pengguna untuk memasukkan kredensial pemulihan yang seharusnya tidak dimasukkan ke dalam perangkat lunak asing.

Kelompok penipuan ini secara khusus menargetkan pengguna App Store wilayah Tiongkok Apple, dan banyak dompet utama yang ditiru sebenarnya tidak tersedia di App Store wilayah Tiongkok. Beberapa kasus kehilangan aset besar akibat dompet palsu juga terjadi di wilayah Amerika Serikat.

Musisi Amerika Garrett Dutton (nama panggung G. Love) mengungkap pada bulan April bahwa ia mengunduh aplikasi wallet Ledger yang diyakininya asli melalui App Store, namun akhirnya kehilangan 5,9 BTC. Setelah mengikuti petunjuk perangkat lunak untuk memasukkan kata pemulihan, seluruh bitcoin senilai sekitar $424.000 dicuri. Para penyelidik blockchain ZachXBT melacak dana yang dicuri masuk ke alamat setoran pertukaran kripto KuCoin, dan KuCoin sementara membekukan akun yang terlibat selama penyelidikan.

Peristiwa ini sangat mirip dengan kasus gugatan Sparrow: pengguna mengunduh perangkat lunak yang meniru nama dompet terkenal di ekosistem Apple, dan karena kepercayaan, mereka memasukkan kunci akses, sehingga aset mereka benar-benar kehilangan kendali.

Serangkaian insiden penipuan terus-menerus melemahkan keunggulan pengendalian ekosistem yang dipromosikan Apple.

Apple mendefinisikan App Store sebagai "platform perangkat lunak yang aman dan dapat dipercaya", menyatakan bahwa semua aplikasi melalui beberapa lapisan tinjauan untuk melindungi pengguna dari penipuan, trojan, dan berbagai risiko keamanan. Narasi keamanan ini juga menjadi alasan utama Apple mempertahankan ekosistem tertutup dan mengendalikan ketat saluran pemasangan perangkat lunak.

Apple terus berargumen bahwa pembukaan sisi lateral tanpa batas akan secara signifikan mengurangi perlindungan privasi dan keamanan perangkat Apple; dengan mengandalkan tinjauan terpusat, malware dapat dihentikan sebelum mencapai pengguna.

Namun, dompet kripto menjadi ujian besar bagi model pengendalian risiko ini: perangkat lunak semacam ini tidak memerlukan program jahat yang rumit, cukup dengan antarmuka yang terlihat asli, sudah dapat menyebabkan kerugian properti yang tak dapat dipulihkan.

Mnemonic phrase sepenuhnya mengendalikan aset dompet terdesentralisasi. Setelah pengguna memasukkan mnemonic phrase ke dalam perangkat lunak jahat, peretas dapat memindahkan aset ke alamat mereka sendiri, dan semua transfer tidak dapat dibatalkan, tanpa lembaga keuangan mana pun yang dapat memulihkan transaksi. Karena itulah, kredibilitas platform App Store sangat penting bagi pengguna kripto.

Plaintiff dalam kasus Sparrow menyatakan bahwa Apple terus menekankan bahwa proses peninjauan platform dapat diandalkan, sehingga pengguna menganggap semua perangkat lunak di App Store telah diperiksa secara ketat. Plaintiff meminta Apple untuk mengganti seluruh aset yang dicuri, sekaligus memberikan ganti rugi kompensasi, ganti rugi hukuman, biaya litigasi, dan mengembalikan seluruh jumlah kerugian. Selain itu, plaintiff meminta Apple untuk menyempurnakan proses pemindaian aplikasi palsu, mengungkapkan secara terbuka rincian peninjauan, serta menambahkan peringatan risiko khusus untuk aplikasi kripto.

Belum ada kesimpulan apakah Apple perlu bertanggung jawab secara hukum saat ini. Apple dapat membantah dua poin: pertama, pengguna seharusnya tidak sepenuhnya percaya pada promosi platform, dan kedua, pengguna sendiri memiliki kelalaian dalam memasukkan kunci pribadi ke perangkat lunak pihak ketiga.

Apple juga memamerkan hasil pengendalian risiko, menyatakan bahwa platform tersebut berhasil menghalangi sejumlah besar serangan berisiko. Data yang dirilis Apple tahun lalu menunjukkan bahwa dari 2020 hingga 2024, App Store berhasil menghalangi potensi transaksi penipuan senilai lebih dari $9 miliar, dengan jumlah yang dihalangi pada tahun 2024 saja melebihi $2 miliar. Pada tahun 2024, Apple menolak hampir 2 juta permohonan aplikasi yang tidak memenuhi standar keamanan, stabilitas, dan pedoman penggunaan; memblokir lebih dari 146.000 akun pengembang karena penipuan, serta menolak 139.000 permohonan pendaftaran pengembang.

Data ini cukup membuktikan bahwa ekosistem Apple terus menghadapi serangan jahat dalam jumlah besar, tetapi juga menonjolkan betapa mahalnya biaya jika aplikasi penipuan keuangan lolos dari pemeriksaan.

Bagi pengguna kripto, kebocoran satu rangkaian kata sandi pemulihan dapat menyebabkan kehilangan aset dompet secara permanen. Banyaknya dompet palsu membuat orang mulai meninjau ulang: seberapa besar kepercayaan yang masih bisa diberikan pada jaminan platform App Store.