App Store に偽の暗号資産ウォレットが配信、ユーザー 180 万ドルの被害でアップルを提訴

執筆：Oluwapelumi Adejumo

翻訳：Saoirse、Foresight News

管理が厳格な Apple App Store が再び各方面から注目を集めている。以前、3 名のビットコイン保有者は、偽物の暗号資産ウォレットにより 180 万ドルの損失を被ったと主張した。こうした悪意のあるウォレットアプリはすでに珍しくなく、Apple が多層の審査機制を設けているにもかかわらず、詐欺ソフトウェアは依然としてユーザーに到達している。

7 月 24 日にカリフォルニア州で提出されたこの訴訟は、Apple が十分な審査義務を果たさず、Sparrow ウォレットを模倣した様々なアプリを削除しなかった一方で、App Store を安全で信頼できるソフトウェアダウンロードチャネルだと宣伝していると指摘している。

2 年以上前就已经存在 Sparrow 偽装アプリに関するリスク警告があった。数ヶ月前、研究者は Apple エコシステム内で 26 件の主要な暗号資産ブランドを模倣したアプリを特定した。相次いで発生する様々な事件により、Apple が長年堅持してきたロジックが大きな圧力に晒されている。Apple はソフトウェア配布の厳格な管理を主張し、事前のアプリ審査により詐欺や悪意のあるソフトウェアを最大限に防げるとしている。

Sparrow 開発者はユーザーの資産が被害を受ける 1 年以上前に Apple に警告していた

この案件において、Apple が責任を負うべき鍵となる点は、詐欺アプリの初回掲載ではなく、その後の被害者が騙される前に、Apple が関連リスクをすでに認識していたことにある。

Sparrow 創設者の Craig Raw は 2024 年初頭から、公式に認可されていない様々なモバイル偽装ウォレットを継続的に報告してきた。Sparrow 自体にはパソコンデスクトップバージョンのみ存在し、理屈上讲 Apple は複雑な技術調査を行わずとも、同名の iPhone アプリが偽装製品であると識別できるはずだ。

しかし訴状によると、その後 1 年間、Sparrow の名称を冒用した様々なバリエーションアプリが App Store に引き続き現れ続けた。

訴訟の筆頭原告である Jalen Delgado は、2025 年 5 月にその中の偽装ソフトウェアの 1 つをダウンロードし、シードフレーズを入力した後 1 ビットコイン以上を失ったと述べている。訴状によると、この資産は当時約 12 万ドルの価値があったという。

2 ヶ月後、ユーザーによる Apple への報告内容はより明確になった。James Ramirez は、2025 年 7 月 25 日に別の Sparrow 偽装ウォレットを使用し、合計 7.4 ビットコイン、約 87 万 5000 ドル相当を損失したと述べた。彼は同日にこのアプリおよび盗難状況を Apple に報告した。

9 日後、Christopher Ellis も App Store で Sparrow アプリを検索し、回復用シードフレーズを入力した後、約 84 万ドル相当の暗号資産を損失した。

この全体のタイムラインが原告側訴訟の核心的根拠である。原告は、Ellis が財産損失を被った時点で、Apple が受け取っていたのはブランド偽装に関する一般的な苦情だけでなく、この偽装ウォレットが多額のビットコイン盗難を引き起こすことを証明する明確な事例であったと主張している。

訴状はさらに、Apple がこの偽装アプリを掲載しただけでなく指摘している。プラットフォームはこの Sparrow 偽装アプリにトラフィック加重推薦を行い、暗号資産アプリコレクションに収録することで、間接的にこの詐欺ソフトウェアの信頼性を高め、その拡散範囲を拡大させた。

訴訟文書にはこう記されている。「ユーザーは複数回 Apple に、App Store 内に詐欺のリスクが高いアプリが存在するとフィードバックした。しかし Apple は消費者に対し、App Store に Sparrow などの様々な偽装ウォレットが出現していることを警告もせず、またこうしたソフトウェアが暗号資産、シードフレーズ、秘密鍵、ウォレットアカウントおよび様々なプライバシー情報の盗難极易に繋がることをユーザーに告知もしなかった」

Apple は回答し、関係するすべての偽装 Sparrow アプリをすでに削除し、対応する開発者アカウントを禁止したと述べた。Apple はさらに、プラットフォームには専用の報告チャネルがあり、アプリがストア規則に違反していることが確認され次第、処置を講じるとも述べた。

しかし Craig Raw の権利擁護の経験は、正規開発者がブランド偽装の混乱を根治しようとしても極めて困難であることを示している。先月 Craig Raw は、iOS プラットフォームでページ情報を公示し、ユーザーに Sparrow には公式モバイル版が存在しないことを告知しようと試みたことを明かした。しかし Apple は当初、この公示内容に誤解を招く嫌疑があると判定し、彼の開発者アカウントを禁止する可能性さえ警告したが、後にこの判定を覆した。

この件は訴訟に新たな論拠も加えた。Apple は偽装ソフトウェアを防げないだけでなく、正規開発者とブランドを盗用する詐欺開発者を区別することさえ困難である。

App Store の偽装ウォレット問題はすでに Sparrow 一例にとどまらない

Sparrow 関連の紛争は、Apple ユーザーが遭遇する暗号資産ウォレット偽装詐欺の氷山の一角に過ぎない。

Kaspersky Threat 研究チームは 4 月に報告書を発表し、合計 26 件の人気暗号ブランドを模倣した詐欺アプリを特定した。偽装対象には MetaMask、Ledger、Trust Wallet、Coinbase、TokenPocket、imToken、Bitpie が含まれる。

Apple App Store 内の暗号資産偽装アプリ（出典：Kaspersky）

Kaspersky によると、この詐欺活動は少なくとも 2025 年秋から活発化しており、ネットワーク組織 SparkKitty の背後にいる攻撃者に関連する可能性が高いという。

この詐欺手法は、単に悪意のあるウォレットを掲載するよりもはるかに複雑だ。詐欺師はアプリジャンプを通じてユーザーを Apple アプリストアを模倣したフィッシングウェブページに誘導し、開発者プロファイルのインストールを促す。こうしたプロファイルに依存し、詐欺師は App Store を迂回して、トロイの木馬を仕込んだ改ざん版暗号資産ウォレットをインストールできる。

ソフトウェアのインストール完了後、悪意のあるプログラムはユーザーの資産を掌握する様々な認証情報を全力で窃取する。ホットウォレットの場合、トロイの木馬はウォレット作成、シードフレーズ回復ページを監視し、ユーザーがシードフレーズを入力さえすれば、ハッカーは全資金を掌握できる。コールドウォレットユーザーもソーシャルエンジニアリング詐欺の罠を逃れられない。ハードウェアウォレットのインターフェースを模倣した悪意のあるソフトウェアは、本来見知らぬソフトウェアに入力すべきではない回復認証情報をユーザーに入力させるよう仕向ける。

この詐欺グループは Apple 中国リージョン App Store ユーザーを重点的に標的としており、偽装された多くの主要ウォレット自体は中国リージョン App Store に掲載されていない。米国リージョンでも偽装ウォレットによる多額の資産盗難が複数発生している。

米国音楽家の Garrett Dutton（芸名 G. Love）は 4 月に、App Store で本物と信じて Ledger ウォレットをダウンロードしたが、最終的に 5.9 ビットコインを失ったと暴露した。彼はソフトウェアの指示に従って回復用シードフレーズを入力した後、約 42 万 4000 ドル相当のビットコインをすべて転送された。ブロックチェーン調査員 ZachXBT は盗難資金が暗号資産取引所 KuCoin の入金アドレスに流入したことを追跡し、KuCoin は調査期間中に関係アカウントを一時凍結した。

この事件は Sparrow 訴訟の案情と非常に類似している。ユーザーは Apple エコシステムで有名ウォレットの名称を冒用したソフトウェアをダウンロードし、信頼に基づき鍵認証情報を入力し、最終的に資産を完全に制御不能に陥れる。

暗号資産詐欺、App Store の安全宣伝文句を痛烈に打ち破る

絶え間ない詐欺事件は、Apple が対外的に宣伝するエコシステム管理の優位性を不断に衝撃している。

Apple は App Store を「安全で信頼できるソフトウェアプラットフォーム」と定義し、すべてのアプリが多層審査を経ることで、ユーザーを詐欺、トロイの木馬および様々なセキュリティリスクから守ると主張している。この安全論説は、Apple が閉鎖的なエコシステムを堅持し、ソフトウェアインストールチャネルを厳格に管理する重要な理由でもある。

Apple は一直、無制限なサイドローディングの開放は Apple デバイスのプライバシーとセキュリティ保護を大幅に低下させると弁明している。中央集権的な審査に依存することで、悪意のあるソフトウェアがユーザーの手に渡る前にブロックできるとしている。

しかし暗号資産ウォレットはこのリスク管理モデルに対する巨大な試練となっている。こうしたソフトウェアは複雑なトロイの木馬プログラムを必要とせず、偽物と本物を見分けがつかないインターフェースだけで、不可逆的な財産損失を引き起こすことができる。

シードフレーズは分散型ウォレットの資産を完全に掌握する。一旦ユーザーが悪意のあるソフトウェア内でシードフレーズを入力すれば、ハッカーは資産を自分のアドレスに転送でき、すべての送金は取り消せず、いかなる金融機関も取引を挽回することはできない。それゆえに、App Store のプラットフォーム公信力は、暗号資産ユーザーにとって極めて重要だ。

Sparrow 案件の原告は、Apple がプラットフォーム審査の信頼性を不断に強調し、ユーザーに App Store 内のソフトウェアがすべて厳格に検証されたと默认させていると述べている。原告は Apple に盗難資産全体の賠償を求めるとともに、補償金、懲罰的損害賠償金、訴訟費用の賠償および全損失資金の返還を求めている。除此之外、原告は Apple に偽装アプリのスクリーニングプロセスの最適化と審査細則の対外公表、暗号資産アプリ向けのリスク警告の追加を求めている。

現在 Apple が法的責任を負う必要があるかどうかはなお結論が出ていない。Apple は 2 点を反論できる。1 つ目はユーザーはプラットフォームの宣伝を完全に信じるべきではないということ、2 つ目はユーザー自身に秘密鍵を第三者ソフトウェアに入力する過失があったということだ。

Apple は同時にリスク管理の成果を晒し、プラットフォームが大量のリスク攻撃をブロックしたと述べた。Apple が昨年公開したデータによると、2020 年から 2024 年にかけて、App Store は累計 90 億ドル超の潜在的な詐欺取引を阻止し、2024 年単独での阻止金額は 20 億ドルを突破した。2024 年、Apple は安全、安定性、使用規範に適合しない約 200 万件のアプリ掲載申請を却下し、詐欺により 14 万 6000 以上の開発者アカウントを禁止し、さらに 13 万 9000 件の開発者登録を拒否した。

これらのデータは Apple エコシステムが常年大量の悪意のある攻撃に直面していることを証明するに足るが、同時に金融類詐欺アプリが一度審査を漏れると、代償が極めて甚大になることも浮き彫りにしている。

暗号資産ユーザーにとって、一連のシードフレーズを漏洩するだけでウォレット資産を永久に失う可能性がある。絶えず現れる偽装ウォレットは、人々に再検討を促している。App Store のプラットフォーム保証は、果たしてまだどれほどの信頼を抱けるのだろうか。