เมื่อแอป Bitcoin ปลอมแฝงตัวในร้านที่ควรปลอดภัยที่สุด
กรณีแอป Sparrow Wallet ปลอมบน App Store คือเหตุการณ์ที่แอป Crypto ปลอมแปลงแฝงตัวเป็นกระเป๋าเงินดิจิทัลชื่อดัง หลบเลี่ยงกระบวนการรีวิวของแพลตฟอร์มที่โฆษณาตัวเองว่าเข้มงวด แล้วขโมยบิตคอยน์จากผู้ใช้ไปประมาณ USD 1.8 ล้าน (approx. ฿64,800,000) ผ่านการหลอกให้กรอก seed phrase จนมิจฉาชีพได้สิทธิ์เต็มในกระเป๋าเงินของเหยื่อ
หัวใจของเรื่องนี้คือความเชื่อใจที่ผิดที่ ผู้ใช้จำนวนมากเชื่อว่า App Store ความปลอดภัย สูงกว่าแพลตฟอร์มอื่นเพราะมีการตรวจทุกแอปก่อนเผยแพร่ แต่แอป Bitcoin ปลอมตัวนี้กลับหลุดเข้าไปถึงหน้าร้าน และยังถูกจัดอันดับให้แสดงในผลการค้นหาและคอลเลกชันคริปโตที่คัดสรรแล้วด้วย เหยื่อสามรายดาวน์โหลดสิ่งที่พวกเขาเชื่อว่าเป็นกระเป๋าเงิน Sparrow ของแท้ ก่อนจะพบว่าบิตคอยน์หายไปมากกว่าที่ใครคาดคิด เหตุการณ์นี้ไม่ได้เป็นเพียง “อุบัติเหตุด้านเทคนิค” แต่สะท้อนว่าระบบรีวิวแอปที่เน้นภาพลักษณ์อาจไม่เพียงพอสำหรับโลกการเงินดิจิทัลที่เดิมพันด้วยสินทรัพย์จริง
รายละเอียดคดี Sparrow Wallet ปลอม และการฟ้องร้อง Apple
คดีนี้เริ่มจาก James Ramirez, Christopher Ellis และ Jalen Delgado นักลงทุนบิตคอยน์สามรายที่ดาวน์โหลดแอปซึ่งปลอมตัวเป็นกระเป๋าเงิน Sparrow Wallet จาก App Store แอปดังกล่าวทำหน้าที่เป็นกระเป๋าเงินหลอกให้ผู้ใช้กรอก seed phrase หรือวลีการกู้คืนเต็มชุด ซึ่งเท่ากับการมอบกุญแจบ้านให้คนแปลกหน้า เมื่อกรอกข้อมูลแล้ว บิตคอยน์ของพวกเขาถูกโอนไปยังกระเป๋าที่มิจฉาชีพควบคุม โดยความเสียหายรวมกันประมาณ USD 1.8 ล้าน (approx. ฿64,800,000)
Delgado สูญเสียประมาณ 1.05 BTC มูลค่าราว USD 120,000 (approx. ฿4,320,000) ขณะที่ Ramirez เสีย 7.4 BTC ประมาณ USD 875,000 (approx. ฿31,500,000) และ Ellis สูญคริปโตมูล่าประมาณ USD 840,000 (approx. ฿30,240,000) ทั้งสามจึงตัดสินใจใช้เส้นทางกฎหมาย โดยการฟ้องร้อง Apple ในศาลรัฐบาลกลาง กล่าวหาว่า “กระเป๋าเงินปลอม” หลบเลี่ยงมาตรการคุ้มกันของ App Store และว่าบริษัทโปรโมตแพลตฟอร์มของตนว่าเป็นแหล่งดาวน์โหลดที่น่าเชื่อถือแต่กลับไม่สามารถกันแอปหลอกลวงออกจากสโตร์ได้ กล่าวอีกแบบหนึ่ง การฟ้องร้อง Apple ครั้งนี้คือการตั้งคำถามต่อความรับผิดชอบของคนเฝ้าประตูในยุคสินทรัพย์ดิจิทัล
ช่องโหว่ของ App Store ความปลอดภัย เมื่อเจอแอป Crypto ปลอมแปลง
การฟ้องร้องครั้งนี้ชี้ตรงไปที่ช่องโหว่ของระบบ App Store ความปลอดภัย ที่เน้นการตลาดมากกว่าขอบเขตความเสี่ยงจริง คำร้องระบุว่า Apple โปรโมตระบบของตนว่ารีวิวทุกแอปก่อนเผยแพร่ และต่อต้านสโตร์ภายนอกกับการ sideloading แต่ในทางปฏิบัติ แอป Crypto ปลอมแปลงก็ยังหลุดเข้าไป และยังได้รับการแนะนำผ่านการจัดอันดับและคอลเลกชันของสโตร์เอง นี่คือความล้มเหลวเชิงโครงสร้าง ไม่ใช่เพียงกรณีพลาดครั้งเดียว
ถึงแม้ Apple จะยืนยันว่ากระเป๋าเงิน Sparrow ปลอมถูกลบแล้ว ยุติบัญชีนักพัฒนาที่เกี่ยวข้อง และไม่มีแอปปลอมดังกล่าวอยู่บน App Store อีกต่อไป พร้อมรายงานว่าบล็อกธุรกรรมฉ้อโกงมากกว่า USD 2 พันล้าน (approx. ฿72,000,000,000) ในปี 2025 แต่ความจริงคือ “Despite strict guardrails, bad actors are sidestepping Apple’s security measures to steal cryptocurrencies” นอกจากนี้ ยังมีรายงานมัลแวร์ SparkKitty แฝงในแอปทั้งบน Apple App Store และอีกแพลตฟอร์มหนึ่งที่สแกนรูปภาพเพื่อหา seed phrase สะท้อนว่าปัญหาไม่ได้จำกัดอยู่แค่กรณี Sparrow Wallet แต่เป็นจุดอ่อนของทั้งระบบมาร์เก็ตเพลสสำหรับแอปการเงินและคริปโต
บทเรียนสำหรับผู้ใช้คริปโต: อย่าให้ความสะดวกชนะความปลอดภัย
กรณีกระเป๋าเงิน Sparrow ปลอมสอนเราอย่างชัดเจนว่า ความสะดวกของการค้นหาและติดตั้งแอปผ่านสโตร์ ไม่ควรแทนที่การตรวจสอบด้วยตัวเอง ก่อนอื่น ผู้ใช้ต้องเลิกคิดว่าแอปใน App Store ความปลอดภัย โดยอัตโนมัติ โดยเฉพาะแอป Bitcoin ปลอมและกระเป๋าเงินคริปโตที่เกี่ยวข้องกับสินทรัพย์จริง เมื่อมีเงินอยู่ในเกม การตรวจสอบแหล่งที่มาเป็นหน้าที่ของผู้ใช้เอง ไม่ใช่เรื่องที่โทษแพลตฟอร์มได้ทั้งหมด
Craig Raw ผู้พัฒนา Sparrow Wallet ของแท้ เคยเตือนชัดเจนว่าโครงการนี้ไม่เคยปล่อยเวอร์ชัน iPhone และแนะนำให้ดาวน์โหลดเฉพาะจากเว็บไซต์ทางการเท่านั้น นี่ควรกลายเป็นมาตรฐานสำหรับทุกโปรเจกต์คริปโต ผู้ใช้ควรตรวจสอบจากเว็บหลักก่อนเสมอว่าแอปรองรับแพลตฟอร์มใด มีลิงก์ไปสโตร์ไหนอย่างเป็นทางการบ้าง และหลีกเลี่ยงการค้นหาชื่อแอปโดยตรงในสโตร์เพียงอย่างเดียว เพราะนั่นคือพื้นที่เล่นของแอป Crypto ปลอมแปลง
คู่มือป้องกันตัว: จาก Sparrow Wallet ปลอมสู่การถือครองคริปโตอย่างมีสติ
คำถามสำคัญไม่ใช่ว่าใครผิดมากกว่ากันระหว่างผู้ใช้หรือแพลตฟอร์ม แต่คือเราจะอยู่กับความเสี่ยงนี้อย่างไรโดยไม่สูญเงินอีก หากเรายอมรับว่ามีโอกาสที่แอป Bitcoin ปลอมเล็ดรอดทุกแพลตฟอร์ม ช่องทางเดียวคือเพิ่มเกราะป้องกันของตัวเองให้หนาขึ้น ทั้งในเชิงเทคนิคและเชิงพฤติกรรม
- ตรวจสอบแอปผ่านเว็บไซต์ทางการของผู้พัฒนาเสมอ ดูว่ามีลิงก์ไปยังสโตร์ใด และโครงการนั้นมีเวอร์ชันมือถือจริงหรือไม่ เช่นกรณี Sparrow Wallet ที่ไม่มีเวอร์ชัน iPhone เลย
- ไม่กรอก seed phrase หรือวลีการกู้คืนเต็มชุดในแอปมือถือหรือเว็บไซต์ใดๆ เว้นแต่เป็นขั้นตอนที่คุณเข้าใจและตรวจสอบซ้ำแล้ว โดยเฉพาะห้ามกรอกตามคำขอที่โผล่ขึ้นมาเฉยๆ ภายในแอป
- ใช้ฮาร์ดแวร์วอลเล็ตสำหรับการถือครองจำนวนมาก และใช้แอปมือถือแค่เป็นกระเป๋าเงินสำหรับใช้จ่าย ไม่ใช่สำหรับเก็บสินทรัพย์หลัก
- ตั้งนิสัยรายงานแอปที่น่าสงสัยผ่านระบบ Report a Problem หรือช่องทางร้องเรียนของสโตร์ เพื่อช่วยให้แอปหลอกลวงถูกลบออกเร็วที่สุด
ท้ายที่สุด การฟ้องร้อง Apple ครั้งนี้อาจบังคับให้ผู้เฝ้าประตูอย่างแพลตฟอร์มแอปต้องยกระดับมาตรการของตน แต่ต่อให้ระบบรีวิวเข้มข้นแค่ไหน ความประมาทเพียงครั้งเดียวของผู้ใช้ก็อาจทำให้เงินหายไปตลอดกาล โลกคริปโตไม่ได้ให้อภัยความผิดพลาดง่ายๆ และ Sparrow Wallet ปลอมก็พิสูจน์แล้วว่าความเชื่อใจผิดที่แพงกว่าที่คิดมาก
