Czym są fałszywe portfele krypto z Google Play i AppStore?

Fałszywe portfele krypto z Google Play i AppStore to złośliwe aplikacje mobilne udające legalne programy do zarządzania kryptowalutami, których jedynym celem jest wyłudzenie od ofiary tajnej frazy odzyskiwania (seed phrase). Złodzieje klonują interfejsy graficzne znanych produktów, a po wpisaniu przez użytkownika słów dostępowych, skrypt natychmiast kradnie wszystkie zgromadzone środki z łańcucha bloków. Taka kradzież jest nieodwracalna. Pieniądze po prostu znikają.

Siedzieliśmy we wtorek w biurze na wrocławskich Krzykach. Klient położył na biurku zablokowanego smartfona. Twierdził, że zaktualizował swój portfel bezpośrednio z oficjalnego sklepu. Wpisał 12 słów by przywrócić sesję. Po trzech minutach jego saldo wynosiło zero. Stracił bez mała prawie pięćdziesiąt procent życiowych oszczędności przez jedną fałszywą aplikację. To się dzieje codziennie. Oficjalne sklepy z oprogramowaniem nie gwarantują absolutnie żadnego bezpieczeństwa w świecie Web3.

Jak działają fałszywe portfele krypto z Google Play i AppStore?

Zasada działania opiera się na brutalnej i prostej inżynierii społecznej połączonej z ułomnościami automatycznych skanerów w sklepach z aplikacjami. Oszuści nie włamują się do telefonów za pomocą skomplikowanych exploitów zero-day. Oni po prostu proszą cię o oddanie kluczy do sejfu, a ty to robisz. Klonują wygląd popularnych aplikacji, takich jak MetaMask, Trust Wallet czy Phantom. Użytkownik pobiera program, otwiera go i widzi znajomy, niebieski ekran z lisem lub tarczą. Aplikacja prosi o “import istniejącego portfela”. Po wpisaniu seed phrase, ciąg znaków leci zwykłym żądaniem HTTP POST na serwer kontrolowany przez hakera w Rosji lub Korei Północnej. Automat po drugiej stronie natychmiast podpisuje transakcję transferu wszystkich tokenów na zewnętrzny adres. Koniec historii.

Chyba nikt w branży nie wie do końca, ile dokładnie złośliwych apek przepuszcza obecnie algorytm Apple i Google, bo brakuje nam twardych danych za zeszły kwartał. Szacujemy, że to setki programów miesięcznie. Środowiska analityczne milczą, bo korporacje ukrywają statystyki odrzuceń. Prawda jest zresztą absolutnie taka, że automatyczne weryfikatory kodu szukają znanych sygnatur wirusów. Fałszywy portfel krypto nie ma w sobie wirusa. To zwykły formularz tekstowy. Maszyna skanująca widzi pole do wpisania tekstu i przycisk “Zatwierdź”. Dla bota Google Play to wygląda jak ekran logowania do forum o wędkarstwie. Przepuszczają to bez mrugnięcia okiem.

W jaki sposób oszuści kradną seed phrase i klucze prywatne?

Atakujący stosują bardzo konkretne procedury operacyjne na poziomie interfejsu. Zmuszają ofiarę do błędu. Wymuszają pośpiech. Prezentują komunikaty o rzekomej awarii sieci lub konieczności pilnej weryfikacji tożsamości ze względów bezpieczeństwa. (Większość ludzi w panice klika wszystko, co podsunie im ekran). Interfejs fałszywego portfela często blokuje możliwość stworzenia nowego adresu. Przycisk “Utwórz nowy portfel” zwraca błąd serwera. Działa tylko opcja “Importuj”. To celowy zabieg wymuszający podanie starych danych.

• Przechwytywanie schowka systemowego. Kopiujesz swój seed z menedżera haseł. Złośliwa aplikacja czyta zawartość schowka w tle, zanim jeszcze wkleisz tekst w pole formularza. Apple wprowadziło powiadomienia o odczycie schowka, ale wielu użytkowników odruchowo je ignoruje. Złodzieje mają twój klucz zanim dotkniesz ekranu.
• Nakładki ekranowe (Overlay attacks). Aplikacja rysuje niewidzialną warstwę nad legalnym portfelem. Myślisz, że wpisujesz hasło do prawdziwego Trust Wallet, a w rzeczywistości wciskasz wirtualne klawisze wygenerowane przez złośliwy proces działający w tle. Ten wektor ataku jest nagminny na starszych wersjach systemu Android.
• Wyłudzanie przez fałszywe aktualizacje. Pobierasz aplikację, która przez pierwsze dwa tygodnie działa normalnie. Jest to tak zwany tryb uśpiony. Skanery Google Play zatwierdziły czysty kod. Po miesiącu aplikacja pobiera zewnętrzny ładunek JavaScript z serwera C&C i nagle zmienia interfejs, żądając ponownego uwierzytelnienia frazą seed.
• Zastępowanie adresów. Niektóre fałszywe portfele krypto z Google Play i AppStore wcale nie kradną seeda. Pozwalają ci normalnie korzystać z aplikacji. Ale kiedy chcesz wysłać środki na giełdę i wklejasz adres docelowy, aplikacja po cichu podmienia go na adres hakera. Zauważasz to dopiero po zatwierdzeniu bloku.

Dlaczego Google Play i AppStore przepuszczają złośliwe aplikacje krypto?

Zaufanie do wielkich marek technologicznych to obecnie największa słabość inwestorów. Ludzie zakładają w ciemno, że skoro coś jest na liście w AppStore, to przeszło rygorystyczne testy u inżynierów z Cupertino. Gówno prawda. Recenzenci Apple spędzają średnio kilka minut na ocenie nowej aplikacji. Sprawdzają, czy ikona nie łamie praw autorskich i czy aplikacja nie wywala się przy starcie. Nie analizują logiki biznesowej pod kątem kradzieży tożsamości w sieciach zdecentralizowanych.

Oszuści wykorzystują technikę zwaną cloakingiem. Kiedy serwery Google lub Apple pobierają aplikację do testów, złośliwy kod sprawdza adres IP testera. Jeśli wykryje, że zapytanie pochodzi z serwerowni w Kalifornii, aplikacja wyświetla niewinny kalkulator walutowy lub zbiór poradników o blockchainie. Recenzent klika, widzi kalkulator, daje zielone światło. Kiedy aplikację pobiera zwykły użytkownik z polskiego adresu IP w sieci komórkowej, serwer zdejmuje maskę i serwuje fałszywy panel logowania do portfela. Sklepy są całkowicie bezradne wobec tej metody.

Jak przebiega proces podszywania się pod oficjalnych deweloperów?

Złodzieje rejestrują konta deweloperskie używając kradzionych tożsamości z wycieków danych. Kupują skany dowodów osobistych w darknecie za kilka dolarów. Przechodzą weryfikację KYC (Know Your Customer) w Google Play Console. Następnie stosują typosquatting. Zamiast “MetaMask” publikują “MẹtaMask” (z kropką pod literą e) lub “MetaMask Pro”. Wyszukiwarka w sklepie często sama poprawia błędy i podrzuca fałszywą aplikację na pierwszym miejscu wyników wyszukiwania, zaraz nad oryginałem. Płacą też za reklamy wewnątrz sklepu. Użytkownik wpisuje “Trust Wallet” i klika w pierwszy link na samej górze z małym dopiskiem “Reklama”, nie patrząc, że wydawcą jest “TrustWallet Ltd LLC” zamiast oficjalnego “DApps Platform, Inc.”.

Zmieniliśmy te zasady na robocie podczas szkoleń z klientami. Zawsze każemy wchodzić do sklepu z aplikacjami wyłącznie przez link z oficjalnego konta na Twitterze (X) lub oficjalnej strony projektu. Nigdy nie szukamy portfeli przez pasek wyszukiwania w Google Play. To bez mała najgorsza opcja z wszystkich możliwych. Wyszukiwarki w sklepach są zoptymalizowane pod sprzedaż reklam, a nie pod bezpieczeństwo kapitału.

Po czym poznać fałszywy portfel kryptowalutowy na telefonie?

Wykrycie oszustwa wymaga odrobiny paranoi. Pierwszym sygnałem ostrzegawczym jest data publikacji. Legalne portfele istnieją na rynku od lat i mają miliony pobrań. Jeśli widzisz aplikację o nazwie “Phantom Solana Wallet”, która ma 500 pobrań i została dodana do sklepu tydzień temu, masz przed sobą scam. Oszuści masowo generują pozytywne opinie przy użyciu farm botów. Widzisz setki pięciogwiazdkowych recenzji napisanych łamanym angielskim lub polskim z translatora, które brzmią jak “Wspaniały portfel szybkie transakcje polecam”. To sztuczny tłum.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem wczoraj. Sortuj opinie od najniższych ocen. Jeśli aplikacja to fałszywe portfele krypto z Google Play i AppStore, na samym dole znajdziesz prawdziwe, pełne rozpaczy komentarze od ludzi, którym wyczyszczono konta. Złodzieje nie nadążają z ich usuwaniem. Kolejna sprawa to uprawnienia. Prawdziwy portfel nie potrzebuje dostępu do twoich kontaktów, mikrofonu czy lokalizacji GPS. Złośliwe klony żądają pełnego dostępu do telefonu, żeby maksymalnie spenetrować urządzenie zanim usuniesz aplikację.

Co zrobić, gdy zainstalujesz złośliwy portfel krypto?

Sytuacja jest zero-jedynkowa. Jeżeli wpisałeś swoją frazę seed w fałszywą aplikację i zatwierdziłeś formularz, twoje środki prawdopodobnie już nie istnieją na starym adresie. Skrypty działają w ułamkach sekund. Boty monitorują serwery oszustów 24/7 i w momencie otrzymania klucza prywatnego, natychmiast inicjują transakcje wyprowadzające. Nie masz czasu na pisanie do supportu. Musisz działać brutalnie i szybko.

Jeśli zorientowałeś się w błędzie ułamek sekundy po kliknięciu i jakimś cudem środki nadal są na adresie (na przykład z powodu zatoru w sieci Ethereum i wysokich opłat gas), musisz natychmiast utworzyć nowy, bezpieczny portfel na innym, czystym urządzeniu. Skopiuj nowy adres. Wróć do starego portfela przez legalne oprogramowanie (np. rozszerzenie w przeglądarce na komputerze) i wyślij wszystkie swoje tokeny na nowy adres z maksymalną możliwą opłatą transakcyjną. Musisz przelicytować bota złodzieja w mempoolu. Jeśli zapłacisz górnikom więcej za przetworzenie transakcji, twój przelew przejdzie jako pierwszy. To dosłownie wyścig z czasem na poziomie pojedynczych bloków.

Jeżeli portfel został wyczyszczony, nie szukaj pomocy u “hakerów odzyskujących krypto” na Instagramie czy Telegramie. To w zdecydowanej większości kolejni oszuści (tzw. recovery scammers), którzy żerują na zdesperowanych ofiarach. Obiecują odzyskanie środków za opłatą manipulacyjną z góry. Płacisz im, a oni blokują cię na komunikatorze. Środków skradzionych z łańcucha bloków przez fałszywe portfele krypto z Google Play i AppStore nie da się cofnąć. Transakcje są ostateczne. Zgłoszenie sprawy na policję kończy się zazwyczaj umorzeniem po kilku miesiącach z powodu “niewykrycia sprawcy przebywającego poza granicami kraju”. Usuń złośliwą aplikację. Wyzeruj telefon do ustawień fabrycznych. Spal skompromitowany seed. Nigdy więcej nie używaj tego adresu do przyjmowania jakichkolwiek środków.

Jakie techniki ataku stosują twórcy fałszywych aplikacji krypto?

Złodzieje ewoluują. Nie polegają już tylko na prymitywnych formularzach. Wprowadzają ataki oparte na zatruwaniu adresów (Address Poisoning). Fałszywa aplikacja generuje fałszywe transakcje przychodzące z zerową wartością. Adres nadawcy wygląda niemal identycznie jak adres twojej giełdy (ma te same pierwsze i ostatnie znaki). Oszuści liczą na to, że przy kolejnym przelewie skopiujesz ten zatruty adres z historii transakcji wewnątrz fałszywej aplikacji. Środki zamiast na giełdę, lecą do hakera.

Inna metoda to modyfikacja kodów QR. Chcesz odebrać płatność. Aplikacja generuje kod QR, który powinieneś pokazać znajomemu. Kod ten nie zawiera jednak twojego adresu, lecz adres przypisany do serwera atakującego. Znajomy skanuje kod, wysyła tether (USDT), a pieniądze nigdy nie docierają na twój telefon. Prawdziwe portfele zawsze pozwalają zweryfikować ciąg znaków pod kodem wizualnym. Złośliwe aplikacje często ukrywają ten tekst lub pokazują tekst właściwy, podkładając sfałszowany kod graficzny.

Architektura tych ataków opiera się o wynajmowane infrastruktury chmurowe. Przestępcy stawiają serwery na AWS lub DigitalOcean z użyciem kradzionych kart kredytowych. Kiedy Google Play zdejmie ich aplikację, kodują nową iterację, zmieniają logo, przepakowują plik APK i wrzucają go z nowego konta. To gra w kotka i myszkę. Ekosystem mobilny udowodnił, że nie radzi sobie z ochroną własności cyfrowej opartej na kryptografii. Użytkownicy są pozostawieni sami sobie na celowniku zorganizowanych grup przestępczych.

Sprawdź swój telefon już teraz. Wejdź w ustawienia aplikacji. Przejrzyj uprawnienia portfela, z którego korzystasz. Usuń go, jeśli nazwa wydawcy w sklepie różni się choćby o jedną literę od oryginału. Nie czekaj na moment, w którym zobaczysz zerowe saldo. Jeśli wolisz ufać ślepo algorytmom korporacji z Doliny Krzemowej w kwestii zabezpieczenia twoich oszczędności, to zapraszam na rynek krypto. Złodzieje zjedzą cię tu na śniadanie.

FAQ – Najczęściej zadawane pytania o fałszywe portfele krypto

• Czy Google i Apple zwracają pieniądze ukradzione przez fałszywe aplikacje ze swoich sklepów?
  Nie. Platformy dystrybucyjne zrzekają się odpowiedzialności za straty finansowe poniesione wewnątrz aplikacji firm trzecich. Regulaminy sklepów chronią korporacje przed pozwami. Całe ryzyko ponosi użytkownik.
• Jak bezpiecznie pobrać prawdziwy portfel kryptowalutowy na telefon?
  Nigdy nie używaj paska wyszukiwania w Google Play lub AppStore. Zawsze wchodź na oficjalną stronę projektu (np. metamask.io) i klikaj w bezpośrednie linki przekierowujące do odpowiedniego sklepu. Sprawdzaj liczbę pobrań i nazwę wydawcy.
• Czy fałszywa aplikacja może ukraść krypto bez podawania seed phrase?
  Sama instalacja aplikacji zazwyczaj nie kradnie środków, jeśli klucze są przechowywane w bezpiecznym miejscu (np. na portfelu sprzętowym). Złośliwa aplikacja może jednak podmieniać adresy w schowku systemowym podczas kopiowania i wklejania.
• Mam portfel sprzętowy Ledger/Trezor. Czy fałszywa aplikacja na telefonie może mnie okraść?
  Tak. Jeśli złośliwa aplikacja poprosi cię o wpisanie 24 słów z portfela sprzętowego na ekranie telefonu, a ty to zrobisz, oddajesz pełną kontrolę nad urządzeniem sprzętowym. Seeda z urządzenia sprzętowego nigdy nie wpisuje się na klawiaturze komputera ani telefonu.
• Znalazłem fałszywy portfel w Google Play. Co z tym zrobić?
  Użyj opcji “Zgłoś aplikację” wewnątrz sklepu, oznaczając ją jako złośliwe oprogramowanie. Warto również zgłosić incydent do zespołu bezpieczeństwa prawdziwego projektu (np. na oficjalnym serwerze Discord), aby mogli podjąć działania prawne o usunięcie klonu.
• Wpisałem seed w dziwną aplikację, ale środki nadal są na koncie. Co robić?
  Natychmiast utwórz nowy portfel na bezpiecznym urządzeniu. Przelej wszystkie posiadane tokeny i monety na nowy adres ustawiając najwyższą możliwą opłatę sieciową (gas fee), aby wyprzedzić boty hakera. Stary adres jest spalony na zawsze.

Bibliografia

1. CERT Polska – https://cert.pl
2. Komisja Nadzoru Finansowego – https://www.knf.gov.pl
3. Niebezpiecznik – https://niebezpiecznik.pl
4. Zaufana Trzecia Strona – https://zaufanatrzeciastrona.pl
5. Sekurak – https://sekurak.pl