Листинг в App Store, которого не должно быть

Август 2024. Пользователь из Москвы ищет «Trust Wallet» в App Store. Первый результат: знакомый щит Trust Wallet, 4,8 звезды, 8 000 отзывов. Он ставит приложение, импортирует свою seed-фразу — и за четыре минуты у него на глазах исчезают BNB и токены в сети BSC.

Листинг был клоном: имя разработчика почти совпадало с настоящим — где-то дефис, где-то пропущенная запятая, ровно настолько похоже, что второй раз никто не вчитывается. Провисел он девять дней, прежде чем его удалили.

Почему даже App Store обманывают

Проверка Apple отсеивает большую часть мошенничества, но поддельные кошельки время от времени проскальзывают. Их делают так, чтобы пройти ревью: для проверяющего приложение выглядит нормально, а опустошает оно только тогда, когда пользователь импортирует настоящую seed-фразу с балансом. После импорта приложение отправляет фразу на сервер мошенников и дальше работает как обычный кошелёк — до момента, когда те решат вывести средства.

Четыре шага верификации перед установкой кошелькового приложения

  • Сверьте имя разработчика с официальным сайтом кошелька. Trust Wallet публикует ссылки на App Store и Play Store прямо на trustwallet.com. Переходите с сайта, а не наоборот. Если имя разработчика в карточке, которую вы собираетесь ставить, не совпадает с тем, куда ведёт сайт, — не ставьте, как бы похоже оно ни выглядело.
  • Проверьте число и даты отзывов. У реального приложения отзывы идут годами, стабильным потоком. У клона 8 000 отзывов за последние 60 дней — куплены пачками.
  • Проверьте другие приложения разработчика. За аккаунтом клона часто числится россыпь не связанных между собой утилит — их публикуют, чтобы аккаунт выглядел как солидная компания.
  • Сначала используйте кошелёк на свежем устройстве. Создайте новую seed-фразу, положите на неё сумму, которую не жалко потерять, и подождите день. Если что-то покажется подозрительным, вы лишитесь мелочи, а не сбережений.

Правило для seed-фразы

Не импортируйте seed-фразу с серьёзным балансом в только что установленное приложение, пока не сверили его по нескольким источникам. Seed, попавший в мошенническое приложение, навсегда скомпрометирован — даже после удаления приложения.

Две seed-фразы вместо одной

Разделите средства между двумя seed-фразами. Первая — для денег, потеря которых была бы для вас ощутимой: её вводят только в аппаратный кошелёк и никогда в программный. Вторая — для небольшой суммы на пробу новых приложений. Друг с другом эти фразы не пересекаются.