假钱包 App 混进苹果商店卷走 180 万美元——一个习惯就能避开

三名比特币持有者起诉苹果公司：一款名为 Sparrow 的钱包 App 的假冒版本出现在 App Store 上，合计卷走约 180 万美元。他们在损失代币前都做了同一件事——把自己的私密助记词输入了一个只因为“出现在官方商店”就信任的 App。

Sparrow 钱包只在桌面电脑上运行（Windows、macOS 和 Linux），从未推出过 iPhone 版本，因此 App Store 上任何以它名义出现的应用都是冒名顶替。开发者 Craig Raw 早在 2024 年初就不断警告有山寨版本。据 7 月 24 日在加州提交的诉状，一名受害者在被盗当天就向苹果举报了假 App 及损失；另一名用户九天后仍从商店下载了一个 Sparrow 应用，损失约 84 万美元。

这些损失之所以是彻底且不可逆的，关键在于助记词是什么。那 12 或 24 个单词是自托管钱包的总钥匙——任何拿到它的人都能转走里面的每一枚币。真正的钱包把这把钥匙保存在你自己的设备上；假钱包只是收集你输入的单词，再交给窃贼。事后没有任何银行或支付机构能撤销这笔转账。

这并非个案。安全公司卡巴斯基今年 4 月表示，发现了 26 款冒充 MetaMask、Ledger、Coinbase 等品牌的欺诈应用；一位音乐人也称因下载商店里的假 Ledger App 而损失 5.9 枚比特币。苹果表示已下架假 Sparrow 应用、封停相关开发者账户，并拦截了数十万份恶意提交——但这些案例说明，商店的“认证”标志并不等于安全。

对新手来说，一个习惯几乎能避开所有这类陷阱：绝不把助记词输入一个刚装好的 App。真正的钱包很少要求你这么做，一个只有桌面版的钱包根本没有手机版可下载，而下载链接应当来自项目自己的官方网站，而不是商店搜索结果。当你感到“很急”或“看不太懂”时，先停下，别急着输入助记词。本文仅供参考，不构成投资建议。