A listagem da App Store que não era real

Agosto 2024. Um titular em São Paulo busca "Trust Wallet" na Apple App Store. O primeiro resultado tem o escudo verde do Trust Wallet, 4,8 estrelas, 8 mil avaliações. Ele instala, importa sua seed existente, e vê seus 19 mil USD em BNB e tokens BSC drenarem em quatro minutos.

A listagem era um clone com o nome do desenvolvedor quase igual ao verdadeiro — um hífen aqui, uma vírgula a menos ali, perto o bastante para ninguém ler duas vezes. Ficou nove dias no ar antes de ser removida.

Por que até a App Store se engana

O processo de revisão da Apple pega a maior parte da fraude, mas apps de carteira parecidos passam periodicamente. São projetados para passar na revisão (o app aparenta funcionar normalmente para o revisor) e só drenar quando o usuário importa uma seed real com saldo material. Uma vez instalado, o app sobe a seed para o servidor do operador, depois prossegue como cliente de carteira normal até o operador decidir drenar.

Os quatro passos de verificação antes de instalar um app de carteira

  • Confira o nome do desenvolvedor no site oficial da carteira. Trust Wallet lista os links da App Store e Play Store direto em trustwallet.com. Clique pelo site, não o contrário — e, se o nome do desenvolvedor na listagem que você vai instalar não bater com o da página para onde o site te leva, não instale, por mais parecido que o nome seja.
  • Veja a contagem e datas das avaliações. Um app de carteira real tem avaliações de anos atrás, num pingar constante. Um clone tem 8 mil avaliações todas dos últimos 60 dias — compradas em batch.
  • Veja os outros apps do desenvolvedor. Uma conta de desenvolvedor clone costuma carregar um punhado de utilitários sem relação entre si, publicados para parecer empresa estabelecida.
  • Use a carteira em dispositivo novo primeiro. Gere uma seed nova, financie com 20 USD, segure por um dia. Se algo parecer estranho, você perdeu 20 USD, não 20 mil.

A regra da seed phrase

Nunca importe uma seed de alto valor para um app recém-instalado sem primeiro verificar o app por várias fontes. Uma seed phrase, uma vez digitada num app malicioso, está permanentemente comprometida — mesmo depois de desinstalar.

O que faço

Mantenho duas seeds — uma "tier 1" com dinheiro sério, nunca entra em carteira de software, só assina por hardware. Uma "tier 2" com pouco saldo, usada livremente para testar apps novos. As duas nunca se misturam.