Сторінка в App Store, якої не мало бути

Серпень 2024. Користувач із Києва шукає «Trust Wallet» в Apple App Store. Перший результат: зелений щит Trust Wallet, 4,8 зірки, 8 000 відгуків. Він встановлює застосунок, імпортує свою seed-фразу — і за чотири хвилини бачить, як зникають 19 000 USD у BNB і токенах мережі BSC.

Застосунок був клоном: назва розробника майже збігалася зі справжньою — тут дефіс, там бракує коми, настільки схоже, що ніхто не перечитує двічі. Він провисів у магазині дев'ять днів, перш ніж його прибрали.

Чому обманюють навіть в App Store

Перевірка Apple відсіює більшість шахрайських застосунків, але схожі на справжні гаманці час від часу проскакують. Їх роблять так, щоб пройти перевірку (для рецензента застосунок виглядає нормально), а красти лише тоді, коли користувач імпортує справжню seed-фразу з грошима. Після імпорту застосунок надсилає seed-фразу на сервер шахраїв і далі працює як звичайний гаманець, поки ті не візьмуться виводити кошти.

Чотири перевірки перед встановленням гаманця

  • Звірте назву розробника з офіційним сайтом гаманця. Trust Wallet публікує посилання на App Store й Google Play просто на trustwallet.com. Переходьте в магазин із сайту, а не навпаки. Якщо розробник застосунку, який ви збираєтеся встановити, не збігається з тим, на кого веде посилання з сайту, не встановлюйте, хоч би яким схожим він здавався.
  • Подивіться на кількість і дати відгуків. У справжнього застосунку відгуки з'являються роками, рівномірно. У клона 8 000 відгуків за останні 60 днів — куплені пачками.
  • Перегляньте інші застосунки розробника. В акаунті розробника клона часто висить купа не пов'язаних між собою утиліт — щоб скидатися на солідну компанію.
  • Спершу випробуйте гаманець з нуля. Створіть нову seed-фразу, покладіть на неї 20 USD і почекайте день. Якщо щось не так, ви втратите 20 USD, а не 20 000.

Правило для seed-фрази

Ніколи не імпортуйте seed-фразу, на якій лежать великі гроші, у щойно встановлений застосунок, не перевіривши його за кількома джерелами. Seed-фраза, що потрапила в шахрайський застосунок, скомпрометована назавжди — навіть якщо застосунок видалити.

Розділіть seed-фрази

Корисно тримати дві окремі seed-фрази. Основна, з серйозними грошима, ніколи не вводиться в програмні гаманці — лише в апаратний. Друга, з невеликою сумою, — для випробування нових застосунків. Ці дві ніколи не перетинаються.