Apple usunęło fałszywą aplikację DeFiLlama dopiero po tym, jak zespół dał się okraść

DeFiLlama, popularna platforma analityczna zdecentralizowanych finansów (DeFi), spędziła miesiące, próbując nakłonić Apple do usunięcia podrobionej wersji swojej aplikacji z App Store. Firma wielokrotnie składała zgłoszenia, powołując się na naruszenie znaku towarowego i podszywanie się – standardowe podstawy do usunięcia. Apple nie zareagowało.

Zirytowany zespół wypróbował inną taktykę. Zasilił niewielki portfel kryptowalutowy, pobrał fałszywą aplikację i – zgodnie z przewidywaniami – obserwował, jak środki z portfela są wyprowadzane przez oszustów. Uzbrojeni w dowód rzeczywistej kradzieży, złożyli nowe zgłoszenie. Apple usunął fałszywą aplikację w ciągu kilku dni.

Założyciel DeFiLlama, 0xngmi, publicznie podzielił się tym doświadczeniem, mając nadzieję, że inne firmy kryptowalutowe unikną podobnego marnowania czasu.

Proces recenzji App Store nie jest niezawodny w wykrywaniu oszustów podszywających się pod marki kryptowalutowe

Podrobiona aplikacja DeFiLlama przeszła początkową recenzję Apple i pozostała dostępna przez miesiące, mimo wyraźnych naruszeń znaku towarowego zgłaszanych przez legalny zespół. Nie jest to odosobniony przypadek.

Fałszywa aplikacja Sparrow Wallet podążała podobną ścieżką. Deweloper oryginalnego Sparrow Wallet przez ponad rok informował Apple, że nigdy nie stworzył wersji swojej aplikacji na iOS, ale oszukańcza kopia pozostawała w App Store, dopóki prawdziwi użytkownicy nie stracili prawdziwych pieniędzy. Harmonogram jest uderzający: James Ramirez pobrał fałszywą aplikację 25 lipca 2025 roku i stracił 875 000 dolarów. Tego samego dnia zgłosił kradzież. Aplikacja pozostała w sklepie. 3 sierpnia Christopher Ellis stracił dodatkowe 840 000 dolarów. Dopiero po łącznych stratach około 1,84 miliona dolarów i późniejszym pozwie zbiorowym Apple usunął aplikację.

Działania Apple wydają się reaktywne, a nie proaktywne w przypadku aplikacji kryptowalutowych

Zarówno w przypadku DeFiLlama, jak i Sparrow Wallet, Apple działało dopiero po udowodnieniu kradzieży – nie po zgłoszeniach naruszenia znaku towarowego czy ostrzeżeniach od legalnych deweloperów. Standardowa odpowiedź Apple brzmi, że „podejmuje szybkie działania w celu usunięcia aplikacji podszywających się pod markę” i zakończenia powiązanych kont deweloperskich, ale dopiero po tym, jak sama firma potwierdzi naruszenie.

Nieodwracalna utrata aktywów to główne ryzyko dla użytkowników DeFi

W przeciwieństwie do tradycyjnych oszustw bankowych, kryptowaluty skradzione za pośrednictwem fałszywej aplikacji portfelowej są prawie niemożliwe do odzyskania. Transakcje blockchain są ostateczne i nie ma mechanizmu chargeback ani centralnego organu, który mógłby cofnąć opróżnienie portfela. Gdy użytkownik wprowadzi swoją frazę seed lub klucz prywatny do fałszywej aplikacji, środki są stracone – a obietnica bezpieczeństwa App Store dała tym użytkownikom fałszywe poczucie bezpieczeństwa.

Brak specjalistycznej weryfikacji aplikacji kryptowalutowych na etapie recenzji

Incydenty te sugerują, że zespołowi recenzującemu aplikacje Apple brakuje dedykowanego procesu oceny aplikacji portfelowych kryptowalut – które są wyjątkowo niebezpieczne, ponieważ pojedyncza złośliwa linia kodu może wykraść klucze prywatne i opróżnić wszystkie aktywa. Ogólne kontrole polityki dotyczące „podszywania się” są niewystarczające w przypadku aplikacji, które mogą spowodować całkowitą, nieodwracalną stratę finansową.

Ciężar dowodu spada na ofiary

Zespół DeFiLlama musiał celowo stracić pieniądze, aby wywołać reakcję. Deweloper Sparrow Wallet przez ponad rok informował Apple, że nigdy nie stworzył wersji swojej aplikacji na iOS, a fałszywa aplikacja pozostawała aktywna, dopóki użytkownicy nie stracili 1,8 miliona dolarów. Apple poinformowało, że w 2025 roku zablokowało oszukańcze transakcje w App Store o wartości ponad 2 miliardów dolarów i udaremniło prawie 4,6 miliona prób instalacji lub uruchomienia aplikacji dystrybuowanych poza App Store, jednak te działania egzekucyjne najwyraźniej nie objęły złośliwych aplikacji, które podszywały się pod legalne marki kryptowalutowe w samym sklepie. Stawia to użytkowników w niemożliwej sytuacji: App Store jest reklamowany jako zaufany i bezpieczny kanał dystrybucji, ale mechanizmy egzekwowania przepisów dotyczących oszustw kryptowalutowych uruchamiane są dopiero po wyrządzeniu szkody.