執筆：Oluwapelumi Adejumo
編集：Saoirse、Foresight News
厳格なApple App Storeが再び多方から注目を集めている。以前、3人のビットコイン保有者が、偽の暗号資産ウォレットにより180万ドルを損失したと主張した。このような悪意のあるウォレットアプリはすでに頻繁に見られており、Appleが複数の審査メカニズムを設けていても、詐欺アプリは依然としてユーザーに届いている。
7月24日にカリフォルニア州で提起されたこの訴訟は、苹果が偽のSparrowウォレットアプリを削除する十分な審査義務を果たさなかった一方で、App Storeを安全で信頼できるソフトウェア配信チャネルであると宣伝していたことを告発している。
2年以上前から、Sparrowの偽アプリに関するリスク警告が発出されていた。数ヶ月前には、研究者がAppleエコシステム内で26の主要な暗号資産ブランドを模倣したアプリを特定した。こうした一連の出来事は、Appleが長年堅持してきた論理に大きな圧力をかけている。Appleはソフトウェアの配布を厳格に管理し、アプリの事前審査によって詐欺やマルウェアへの対抗を最大限に図ると主張している。
スパロウの開発者は、ユーザー資産が損失を被る1年以上前からAppleに警告を発していた。
この事件において、アップルが責任を負うべき重要な点は、詐欺アプリが初めて掲載されたことではなく、アップルが被害者が騙される前にすでにそのリスクを認識していたことである。
Sparrowの創設者Craig Rawは、2024年初頭から公式に認可されていないモバイル偽装ウォレットを継続的に通報している。Sparrow自体はデスクトップ版のみであり、苹果は複雑な技術調査をしなくても、同名のiPhoneアプリが偽造製品であることを識別できるはずである。
しかし、告訴状によると、その後1年間にわたり、Sparrowという名称を模倣したさまざまなアプリがApp Storeに次々と登場した。
訴訟の首席原告であるジェイレン・デルガドは、2025年5月に偽装ソフトウェアの1つをダウンロードし、メンションワードを入力した後、1枚のビットコインを失ったと述べ、訴状によると、当時この資産の価値は約12万ドルであった。
2か月後、ユーザーのAppleへの通報内容はより明確になった。James Ramirezは、2025年7月25日に別のSparrow偽装ウォレットを使用し、7.4枚のビットコイン、約87万5,000ドルを損失したと述べ、その当日にこのアプリと盗難の件をAppleに通報した。
9日後に、クリストファー・エリスもApp StoreでSparrowアプリを見つけ、回復用のメンネモニックを入力したところ、約84万ドルの暗号資産を失った。
このタイムライン全体は、原告の訴訟の核心的根拠である。原告は、Ellisが財産損失を被った際、アップルが受けていたのは単なるブランド模倣に関する一般的な苦情ではなく、偽造ウォレットが大額のビットコインを盗まれる原因となった明確な事例が存在していたことを主張している。
訴状はさらに、苹果がこの模倣アプリを掲載しただけでなく、プラットフォームがこのSparrow模倣アプリにトラフィックの優先度を付与し、暗号通貨アプリコレクションに収録することで、この詐欺ソフトの信頼性を間接的に高め、その拡散範囲を広げたと指摘している。
訴状には、「ユーザーは複数回、App Store内に不正かつ高リスクなアプリが存在することをアップルに報告したが、アップルはApp StoreにSparrowなどの偽装ウォレットが存在することを消費者に警告せず、こうしたソフトウェアが暗号通貨、秘密鍵、パスフレーズ、ウォレットアカウントおよびその他の個人情報の盗難を招きやすいことをユーザーに通知しなかった。」と記されている。
アップルは、関与した偽のSparrowアプリをすべて削除し、対応する開発者アカウントをブロックしたと回答しました。アップルはまた、プラットフォームに専用の通報チャネルを設けており、アプリがストアの規則に違反することが確認された場合、対応措置を取ると述べました。
しかし、Craig Raw の権利擁護の経験は、正規の開発者がブランドの模倣問題を根絶しようとする際にいかに困難であるかを示している。先月、Craig Raw は、iOS プラットフォーム上でページの公開情報を提出し、ユーザーに Sparrow に公式なモバイル版が存在しないことを通知したが、Apple は当初、この公開情報が誤解を招く可能性があると判断し、開発者アカウントの停止を警告した。その後、この判断は取り消された。
この出来事は、アップルが模倣アプリを阻止できないだけでなく、正規の開発者とブランドを盗用した詐欺的な開発者を区別することさえ難しいという、訴訟への新たな論拠を提供している。
App Storeの偽装ウォレット問題は、Sparrowだけにとどまらないのは既に長い間です
Sparrowに関する紛争は、Appleユーザーが遭遇する暗号ウォレットの模倣詐欺の氷山の一角に過ぎない。
カスペルスキー・セキュリティ・リサーチチームは4月に報告を発表し、MetaMask、Ledger、Trust Wallet、Coinbase、TokenPocket、imToken、Bitpieを模倣した合計26の偽装暗号通貨アプリを特定しました。
Apple App Storeにおける暗号通貨の模倣アプリ（出典：Kaspersky）
カスペルスキーは、この詐欺活動が2025年秋から少なくとも活発化しており、ネットワーク組織SparkKittyの背後にある攻撃者と高い確率で関連していると述べている。
この詐欺手法は、単に悪意のあるウォレットを上架するよりもはるかに複雑である。詐欺師はアプリのリダイレクトを通じて、ユーザーを偽のAppleアプリストアのフィッシングページに誘導し、開発者プロファイルのインストールを促す。このプロファイルを利用して、詐欺師はApp Storeを回避し、トロイの木馬を含む改変版の暗号ウォレットをインストールできる。
ソフトウェアのインストール後、マルウェアはユーザー資産を制御するあらゆる認証情報を奪取しようとします。ウォレットの場合、トロイの木馬はウォレット作成や復元用秘密鍵の回復ページを監視し、ユーザーが秘密鍵を入力すると、ハッカーはすべての資金を支配できます。コールドウォレットユーザーも社会工学詐欺の罠から逃れられません。偽装されたハードウェアウォレットインターフェースのマルウェアは、本来不明なソフトウェアに入力すべきでない復元情報を入力させるようユーザーをだまします。
この詐欺グループは、Apple中国地域のApp Storeユーザーを主な標的としており、多くの模倣された主要ウォレットは中国地域のApp Storeに掲載されていない。米国地域でも、模倣ウォレットによる大額資産の盗難が複数発生している。
アメリカの音楽家ガレット・ダットン（芸名：G. Love）は4月、App Storeで正規のLedgerウォレットをダウンロードしたが、結果としてビットコイン5.9枚を失った。彼はソフトウェアの指示に従ってリカバリーメモリーワードを入力したところ、約42万4千ドル相当のビットコインがすべて転送された。ブロックチェーン調査員のZachXBTは、盗まれた資金が暗号資産取引所KuCoinの入金アドレスに流れ込んだことを追跡し、KuCoinは調査期間中、関与したアカウントを一時的に凍結した。
この事件はSparrow訴訟と非常に類似しています：ユーザーがAppleエコシステムで有名なウォレット名を偽ったソフトウェアをダウンロードし、信頼して秘密鍵の認証情報を入力した結果、資産が完全に制御不能になりました。
暗号資産詐欺、App Storeのセキュリティ宣伝文句を徹底的に突き破る
次々と発生する詐欺事件が、アップルが宣伝するエコシステム管理の優位性を揺るがしている。
アップルはApp Storeを「安全で信頼できるソフトウェアプラットフォーム」と定義し、すべてのアプリが複数の審査プロセスを経て、ユーザーを詐欺、トロイの木馬、その他のセキュリティリスクから守ると主張している。このセキュリティの主張は、アップルが閉鎖的なエコシステムを維持し、ソフトウェアのインストールチャネルを厳格に管理する重要な根拠でもある。
アップルは、サイドローディングを無制限に開放すると、アップルデバイスのプライバシーとセキュリティ保護が大幅に低下すると主張してきた。中心化されたレビューによって、悪意のあるソフトウェアがユーザーの手に渡る前にブロックできるというのだ。
しかし、暗号資産ウォレットはこのリスク管理モデルに対する大きな試練となります。このようなソフトウェアは複雑なトロイの木馬を必要とせず、偽のインターフェースだけで不可逆的な財産損失を引き起こすことができます。
リカバリーフレーズは、デセントラライズドウォレットの資産を完全に制御します。ユーザーがマルウェア内でリカバリーフレーズを入力すると、ハッカーは資産を自身のアドレスに転送でき、すべての送金は取り消せません。いかなる金融機関も取引を回復することはできません。そのため、App Storeのプラットフォームの信頼性は、暗号資産ユーザーにとって極めて重要です。
Sparrow事件の原告は、Appleがプラットフォームの審査が信頼できると繰り返し強調し、ユーザーがApp Store内のアプリが厳格に検証されていると前提していると主張している。原告は、Appleに対して盗まれたすべての資産の賠償に加え、補償金、懲罰的賠償金、訴訟費用の支払いおよび全損失額の返還を要求している。さらに、原告はAppleに対し、偽アプリのスクリーニングプロセスの改善と審査基準の公表、および暗号資産アプリに対するリスク警告の追加を要求している。
現在、アップルが法的責任を負うかどうかは明確ではない。アップルは以下の2点を反論できる：一是ユーザーがプラットフォームの宣伝を完全に信用すべきでないということ、二是ユーザー自身が秘密鍵をサードパーティのソフトウェアに入力するという不注意があったということ。
Appleは同時にリスク管理の成果を公開し、プラットフォームが膨大なリスク攻撃をブロックしたと述べました。Appleは昨年、2020年から2024年までの間にApp Storeが合計90億ドルを超える潜在的な詐欺取引を阻止したことを公表しました。2024年だけでも、ブロックされた金額は20億ドルを突破しました。2024年には、Appleはセキュリティ、安定性、利用規約に準拠しない約200万件のアプリのアップロード申請を却下し、詐欺により14.6万以上の開発者アカウントを停止し、さらに13.9万件の開発者登録を拒否しました。
これらのデータは、Appleエコシステムが常に大量の悪意ある攻撃にさらされていることを示している一方で、金融詐欺アプリが審査を通り抜けた場合の代償が極めて深刻であることを浮き彫りにしている。
暗号資産ユーザーにとって、メンションフレーズが漏洩すると、ウォレットの資産を永久に失う可能性があります。次々と登場する偽装ウォレットにより、人々はApp Storeのプラットフォーム保証に対して、どれほど信頼を置けるのかを見直し始めています。