Er glaubte, Apples App Store sei sicher. Dann hat eine gefälschte App seine Ersparnisse in Bitcoin gestohlen.

Phillipe Christodoulou wollte letzten Monat sein Bitcoin-Guthaben überprüfen und suchte im App Store auf seinem iPhone nach „Trezor“, dem Hersteller eines kleinen Hardwaregeräts, mit dem er seine Kryptowährung speichert. Das Vorhängeschloss-Logo des Unternehmens tauchte vor einem hellgrünen Hintergrund auf. Die App wurde mit fast fünf Sternen bewertet. Er lud es herunter und tippte seine Anmeldeinformationen ein.

In weniger als einer Sekunde waren fast alle seine Ersparnisse – 17,1 Bitcoin im Wert von 600.000 US-Dollar – verschwunden. Die App war eine Fälschung, die die Leute dazu bringen sollte, zu glauben, es sei eine legitime App.

Aber Christodoulou ist bei Apple wütender als bei den Dieben selbst: Er sagt, Apple habe den App Store als sicheren und vertrauenswürdigen Ort vermarktet, an dem jede App überprüft wird, bevor sie im Store zugelassen wird.

Christodoulou, einst ein treuer Apple-Kunde, sagte, er bewundere das Unternehmen nicht mehr. “Sie haben das Vertrauen verraten, das ich in sie hatte”, sagte er in einem Interview. “Apple hat es nicht verdient, damit durchzukommen.”

Apple bezeichnet seinen App Store als “den weltweit vertrauenswürdigsten Marktplatz für Apps”, auf dem jede Einreichung gescannt und überprüft wird, um sicherzustellen, dass sie sicher, nützlich und einzigartig sind. Laut Experten ist es für Betrüger jedoch einfach, die Apple-Regeln zu umgehen.

Kriminelle App-Entwickler können gegen Apples Regeln verstoßen, indem sie scheinbar harmlose Apps zur Genehmigung einreichen. Sobald sie im Geschäft sind, können Betrüger die Apps einfach in Phishing-Apps umwandeln, die Menschen dazu verleiten, ihre Informationen preiszugeben, bis Apple die App herausfindet und entfernt, so Apple.

Krypto-Betrug ist auch auf Googles Android und im Web weit verbreitet. Ihre Präsenz im Apple App Store ist jedoch überraschender, da Apple den Store kuratiert und jede App überprüft, was ein hohes Maß an Vertrauen der Verbraucher schafft. Die Provision von 15 bis 30 Prozent, die Apple für alle Verkäufe im App Store sammelt, dient der Finanzierung des „hoch kuratierten“ Kundenerlebnisses, so das Unternehmen.

“Das Vertrauen der Benutzer ist die Grundlage für die Einrichtung des App Store. Dieses Engagement haben wir in den letzten Jahren nur noch vertieft”, sagte Apple-Sprecher Fred Sainz. „Eine Studie nach der anderen hat gezeigt, dass der App Store der sicherste App-Marktplatz der Welt ist. Wir arbeiten ständig daran, diesen Standard beizubehalten und den Schutz des App Store weiter zu stärken. In den begrenzten Fällen, in denen Kriminelle unsere Benutzer betrügen, gehen wir schnell gegen diese Akteure vor und verhindern in Zukunft ähnliche Verstöße. “

Die Fähigkeit von Apps, sich nach der Genehmigung durch den App Store vollständig in etwas anderes zu verwandeln, wirft Fragen zur Effektivität des Überprüfungsprozesses von Apple auf, um Betrüger zu stoppen. Apple würde nicht sagen, wie oft diese Betrügereien auftreten oder wie oft sie entfernt werden. Im vergangenen Jahr wurden jedoch 6.500 Apps für „versteckte oder undokumentierte Funktionen“ entfernt.

Apple wirbt für die Sicherheit der Nutzer, um sich gegen Vorwürfe von Gesetzgebern, Aufsichtsbehörden und Wettbewerbern zu verteidigen, wonach das Unternehmen sein Monopol für die Verbreitung von Apps auf iPhones wettbewerbswidrig ausnutzt.

“Apple schiebt häufig Mythen über die Privatsphäre und Sicherheit der Benutzer als Schutzschild gegen seine wettbewerbswidrigen App Store-Praktiken”, sagte Meghan DiMuzio, Geschäftsführerin der Coalition for App Fairness, die gegründet wurde, um die Macht von Apple über seinen App Store zu bekämpfen. “Die Wahrheit ist, dass Apples Sicherheitsstandards in Apps uneinheitlich angewendet und nur dann durchgesetzt werden, wenn sie Apple zugute kommen.”

Apple gab zu, dass es im App Store andere Kryptowährungsbetrügereien gegeben hat, sagte aber nicht, wie viele. Apple würde nicht sagen, warum, als sich in der Vergangenheit gefälschte Trezor-Apps in den App Store eingeschlichen hatten, neue Apps mit dem Namen „Trezor“ nicht als potenziell betrügerisch gekennzeichnet wurden.

Coinfirm, ein in Großbritannien ansässiges Unternehmen, das sich auf Vorschriften für Kryptowährungen spezialisiert hat und Betrugsuntersuchungen durchführt, hat seit Oktober 2019 mehr als 7.000 Anfragen zu gestohlenen Krypto-Assets erhalten. Gefälschte Apps im Android Play Store von Google und im App Store von Apple sind laut Pawel Aleksander weit verbreitet , der Chief Information Officer des Unternehmens.

Laut Coinfirm haben fünf Personen berichtet, dass Kryptowährung von der gefälschten Trezor-App auf iOS gestohlen wurde, was zu Gesamtverlusten in Höhe von 1,6 Millionen US-Dollar führt. Es gab drei Berichte über gefälschte Trezor-Apps auf Android, die insgesamt 600.000 US-Dollar an Kryptowährung gestohlen haben.

Apple würde den Entwickler der gefälschten Trezor-App nicht benennen oder die Kontaktinformationen des Entwicklers angeben. Apple würde nicht sagen, ob es den Namen an die Strafverfolgungsbehörden weitergibt oder ob es den Entwickler weiter untersucht. Apple würde auch nicht sagen, ob dieser Entwickler in der Vergangenheit andere Apps entwickelt hat oder Verbindungen zu anderen Entwicklerkonten unter anderen Namen hat.

“Wir erlauben keine Apps, die Benutzer irreführen, indem sie sich als eine andere App, ein Entwickler oder ein Unternehmen ausgeben. Wenn wir eine App entdecken, die gegen unsere Richtlinien verstößt, ergreifen wir geeignete Maßnahmen”, sagte Google-Sprecher Colin Smith.

Google hat nicht gesagt, wie die Trezor-App es in den Google Play Store geschafft hat. Es heißt, es kenne zwei gefälschte Trezor-Apps, die im Store erschienen sind. Es entfernte beide. Das Unternehmen hat nicht angegeben, ob es die Strafverfolgung benachrichtigt hat oder wie viele andere Betrugs-Apps es im Geschäft gefunden hat. Auf Reddit-Postern wurde eine gefälschte Trezor-App besprochen, und Google gab an, den Entwickler dieser App entfernt zu haben. Es wurde nicht gesagt, ob es diesen Entwickler untersucht hat. Das Analyseunternehmen App Figures konnte acht gefälschte Trezor-Apps finden, die im Play Store erschienen sind.

Von allen Internet-Betrügereien ist der Diebstahl von Kryptowährung einer der lukrativsten für Diebe. Millionen von Dollar in digitaler Währung können in Sekundenbruchteilen gestohlen werden, und hochkarätige Krypto-Überfälle haben Diebe bis zu 530 Millionen US-Dollar eingebracht, die beim Coincheck-Hack im Jahr 2018 aufgetreten sind. Im Jahr 2014 hat Apple Krypto-Geldbörsen im App Store jedoch verboten dann restauriert sie im selben Jahr. Apple erlaubt keine Cryptocurrency-Mining-Apps und schränkt Crypto-Wallet-Apps zusätzlich ein.

Um ihre Investitionen besser abzusichern, übertragen Personen, die Kryptowährungen besitzen, ihre Investitionen auf „Hardware-Wallets“, die wie USB-Sticks die geheimen und vertraulichen Informationen speichern, die ein Dieb benötigen würde, um die Kryptowährung einer Person zu stehlen.

Hardware-Portemonnaies werden über ein USB-Gerät an einen Computer angeschlossen. Durch Eingabe einer PIN und manchmal einer zusätzlichen Passphrase kann auf die Hardware-Brieftasche zugegriffen und Transaktionen durchgeführt werden. Wenn keine Hardware-Brieftasche vorhanden ist, können die Informationen mit einer geheimen „Startphrase“ entschlüsselt werden. Einige Leute bewahren die Samenphrase in einem Safe auf, in der Hoffnung, dass sie sie nie verwenden müssen, oder sie sind auf haltbares Metall geätzt, das ein Feuer überleben kann. Betrüger verwenden Phishing, um Menschen dazu zu bringen, ihre Samenphrasen aufzugeben.

Trezor mit Sitz in der Tschechischen Republik und im Besitz einer Firma namens Satoshi Labs ist ein bekannter Hersteller von Hardware-Geldbörsen. Trezor hat keine mobile App, aber Kryptodiebe haben eine gefälschte App erstellt und diese im Januar im Apple App Store und im Dezember im Google Play Store veröffentlicht. Dies bringt einige ahnungslose Trezor-Kunden dazu, ihre Startphrasen einzugeben.

Kristyna Mazankova, eine Sprecherin von Trezor, sagte, das Unternehmen habe Apple und Google seit Jahren über gefälschte Apps informiert, die sich als Trezor-Produkt ausgeben, um seine Kunden zu betrügen. Trezor hatte noch nie eine mobile App, obwohl das Unternehmen an einer arbeitet. Sie sagte, der Prozess der Meldung der Apps sei “schmerzhaft” und Vertreter von Apple und Google hätten keinen Kontakt gehabt.

Laut Mazankova hat Trezor Apple am 1. Februar über eine Nachahmer-App informiert. Apple hat die App am 3. Februar entfernt, sie wurde jedoch laut Christodoulou Tage später erneut angezeigt, bevor sie erneut entfernt wurde.

Laut Apple ist die gefälschte Trezor-App durch einen Köder-und-Schalter durch den App Store gekommen. Obwohl es Trezor hieß und das Trezor-Logo und die Trezor-Farben verwendete, stellte es sich laut Apple als „Kryptografie“ -App dar, die iPhone-Dateien verschlüsselt und Passwörter speichert. Der Entwickler der gefälschten Trezor-App erklärte gegenüber dem Apple-Bewertungsteam, dass es “an keiner Kryptowährung beteiligt ist”. Apple hat die App am 23. Januar genehmigt und im App Store platziert.

Einige Zeit später verwandelte sich die Trezor-Kryptografie-App, ohne dass Apple es wusste, in eine Kryptowährungs-Brieftasche. Apple erlaubt diese Art von Änderungen nicht, aber Apple sagt, dass es nicht weiß, wann sie auftreten. Es ist darauf angewiesen, dass Benutzer und Kunden dies melden, wenn es passiert, sagte das Unternehmen.

Nachdem Trezor die gefälschte App an Apple gemeldet hat, hat Apple die App entfernt und den Entwickler gesperrt. Zwei Tage später erschien eine weitere gefälschte Trezor-App. Apple hat diese App ebenfalls entfernt. Apple hat nicht gesagt, wie es von den gefälschten Apps erfahren hat, aber es hat sie entfernt, weil sie betrügerisch waren.

Sensor Tower, ein Unternehmen für die Analyse mobiler Apps, gab an, dass die Trezor-App mindestens vom 23. Januar bis 3. Februar im Apple App Store war und anscheinend etwa 1.000 Mal heruntergeladen wurde. Die App wurde ungefähr 1.000 Mal auf Android heruntergeladen, aber Sensor Tower sammelte keine Daten darüber, wann sie verfügbar war.

James Fajcz, ein Zuverlässigkeitsingenieur einer Papierfirma, die in Savannah, Georgia, lebt, habe seine Kryptowährung auch von der gefälschten Trezor-App gestohlen bekommen, sagt er. Im Dezember, als er sah, dass die Preise für digitale Token stiegen, kaufte er Ethereum und Bitcoin im Wert von etwa 14.000 USD bei Coinbase und Binance mit Geld aus seinen Ersparnissen.

Er wollte sicherstellen, dass seine Investition sicher war, also kaufte er eine Trezor Model T-Hardware-Brieftasche und lud eine App namens Trezor auf sein iPhone herunter, in der er nach seiner Startphrase gefragt wurde. Die App stellte keine Verbindung zu seiner Trezor-Brieftasche her und er stellte fest, dass sie nicht funktionierte.

Wochen später kaufte er mehr Ethereum auf Coinbase. Er steckte sein Trezor-Gerät ein, aber nichts war da. Er ging auf das Trezor-Supportforum auf Reddit, um Antworten zu erhalten. Ein Reddit-Poster informierte ihn: Es gibt keine Trezor-App. „Mein Kiefer fiel zu Boden. Mein Herz ist gesunken “, sagte er. “Mir wurde klar, was ich getan habe.”

Fajcz sagte, er habe Apples Support-Leitung angerufen. Ein Vertreter von Apple sagte, das Unternehmen sei nicht verantwortlich, sagt Fajcz. “Dies war eine vertrauenswürdige App im App Store, die behauptete, der beste und vertrauenswürdigste App Store auf jedem System zu sein”, sagte er. „Und diese schändliche App kommt auf die Plattform? Ich bin der Meinung, dass Apple teilweise oder vollständig dafür verantwortlich gemacht werden sollte. “

In einigen Jahren hatte Christodoulou 18,1 Bitcoin angehäuft. Zu Beginn der Coronavirus-Pandemie war jede etwa 5.500 US-Dollar wert. Im Oktober stieg der Preis sprunghaft an und lag Anfang dieses Jahres bei 60.000 US-Dollar.

Christodoulou hatte gehofft, dass seine Bitcoin-Bestände dazu beitragen würden, sein chemisches Reinigungsgeschäft zu retten, das während der Pandemie dezimiert wurde. Am 1. Februar wollte er in der Lage sein, sein Bitcoin-Guthaben mit seinem Telefon anstelle eines Computers zu überprüfen. Also überprüfte er den App Store, lud die gefälschte Trezor-App herunter und gab seine Startphrase ein.

Unmittelbar danach steckte er seine Trezor-Hardware-Brieftasche in seinen Computer und loggte sich ein, um sein Guthaben zu überprüfen. Es war alles weg.

An diesem Abend ging Christodoulou erneut in den App Store, um sich die Bewertungen genauer anzusehen. Vor dem Entfernen hatte die Trezor-App laut App Figures, dem Analyseunternehmen, 155 Bewertungen im App Store für eine Bewertung von fast fünf Sternen. Als Christodoulou die schriftlichen Bewertungen öffnete, las er Beschwerden von anderen Personen, die auf die gleiche Weise betrogen worden waren. Die Fünf-Sterne-Bewertungen, die dazu beigetragen haben, dass die App legitim erschien, müssen gefälscht gewesen sein, schloss er.

Christodoulou rief den Apple-Kundendienst an und ein Vertreter sagte, er würde ihn an einen Vorgesetzten weiterleiten. Er sagte, er habe auch Apple benachrichtigt und einen Bericht beim FBI eingereicht. Lauren Hagee Glintz, eine FBI-Sprecherin, lehnte es ab, sich zu dem Bericht zu äußern.

Chainalysis, ein kommerzielles Blockchain-Analyseunternehmen, überprüfte die von Fajcz und Christodoulou bereitgestellten Dokumente und bestätigte, dass ihre Kryptowährung von ihren Brieftaschen auf ein verdächtiges Konto verschoben wurde. Beide Diebstähle schienen verwandt zu sein, sagte Madeleine Kennedy, eine Sprecherin von Chainalysis. “Es gibt Hinweise darauf, dass dies ein erheblicher Betrug ist, der Hunderttausende von Dollar einbringt”, sagte sie.

Nur eines von Christodoulous 18.1-Bitcoin wurde verschont, weil er es an einen Bitcoin-Spardienst namens BlockFi übertrug. Zum Zeitpunkt des Diebstahls waren seine 17,1 gestohlenen Bitcoin 600.000 US-Dollar wert, aber ihr Wert stieg bald auf 1 Million US-Dollar.

Christodoulou sagt, er nehme Medikamente und gehe zu einem Psychiater. „Es hat mich kaputt gemacht. Ich bin immer noch nicht davon erholt “, sagte er.

Er hat immer noch nichts von Apple gehört.

Diese Geschichte wurde ursprünglich auf washingtonpost.com veröffentlicht. Lesen Sie es hier.