App store: hogyan ismered fel a valódi tárca-appot?

Az app store-okban ma már nemcsak megbízható szoftverek sorakoznak, hanem gondosan megtervezett másolatok is, amelyek egyetlen célja: megszerezni a seed phrase-edet. A probléma nem új, de egyre kifinomultabb. Ez a cikk nem rémítgetés, hanem felkészítés: megmutatja, hogyan ellenőrizd a wallet-appot mielőtt egyetlen betűt is beírnál. Ha még nem ismered a seed phrase fogalmát, kezdd itt: mi az a kriptotárca és a seed phrase.

Miért veszélyesek a hamis wallet-appok?

A seed phrase a kriptós vagyonod egyetlen biztosítéka. Aki ismeri, az teljes hozzáférést kap a tárcádhoz - nincs jelszó-visszaállítás, nincs ügyfélszolgálat, nincs visszaút. A hamis wallet-appok pont ezt használják ki: tökéletes másolatot készítenek a MetaMask, Trust Wallet, Phantom vagy Ledger Live felületéről, majd az „Importálás / meglévő tárca visszaállítása” lépésnél bekérik a seed phrase-t és azt azonnal továbbítják a támadóknak.

A megtévesztés olyan szintű lehet, hogy az app a letöltés után valóban „működni” látszik - mutatja az egyenlegedet, fogadja a tranzakciókat - mialatt a háttérben már minden el van mentve egy szerverre.

Hogyan ismered fel a valódi tárca-appot az app store-ban?

Négy dolgot kell sorban ellenőrizni, mielőtt a „Letöltés” gombra kattintasz.

1. A publisher neve. Ez az egyetlen kritikus mező, amelyet nehéz hamisítani - legalábbis tökéletesen nem. A MetaMask kiadója a ConsenSys Software Inc., a Trust Walleté a DApps Platform Inc. (Google Play) és a Six Days LLC (App Store), a Phantomé a Phantom Technologies Inc. A pontos nevet a megfelelő projekt hivatalos weboldaláról keresd ki, mielőtt az app store-ba nyitsz. Ha a publisher neve akár egyetlen karakterrel is eltér - szóköz, pont, rövidítés - menj vissza, és keress újra.

2. A letöltésszám és a frissítés dátuma. A MetaMask Play Store-ban több tízmillió letöltésnél jár. Egy frissen feltöltött, néhány száz letöltéssel rendelkező app, amely MetaMasknak nevezi magát, egyértelmű gyanújel. Hasonlóképpen: ha az utolsó frissítés dátuma néhány héttel ezelőtt van, miközben a valódi app folyamatos fejlesztés alatt áll, az szintén figyelmeztető.

3. Az értékelések minősége. A hamis appoknak jellemzően két szélsőséges értékelésprofiljuk van: vagy tele van öt csillaggal, de az értékelések szövege generikus („Nagyon jó app!”), vagy pedig teli egy- és kettő-csillaggal, panaszokkal. Nézd meg a legrégebbi értékeléseket is, ne csak a legújabbakat.

4. A web-to-store keresztellenőrzés. Nyisd meg a projekt hivatalos weboldalát (metamask.io, trustwallet.com stb.) egy böngészőben - a store nem megnyitva, hanem az URL-t gépeld be kézzel. Az oldal legalján vagy a letöltési szekcióban mindig van egy „Download” vagy „Get the app” gomb, amely közvetlenül a megfelelő store-listingre mutat. Ha ott kattintasz, az az autentikus oldal. Ha az így megnyíló listing nem egyezik azzal, amit korábban az app store-ban találtál, a kettő közül az egyik nem az igazi.

Vigyázz: A Google Play és az App Store algoritmusa nem tökéletes. Hamis appok rendszeresen kerülnek fel, és néha napokig, hetekig online maradnak, mielőtt eltávolítják őket. Az app store neve önmagában nem garancia.

Mire figyelj a telepítés után - a seed phrase szabálya

Új tárcát létrehozni egy épp letöltött appban viszonylag alacsony kockázatú: az app generál egy új seed phrase-t, te leírod papírra, és kész. A veszély ott kezdődik, ahol meglévő tárcát akarsz importálni.

Soha ne írj be meglévő seed phrase-t egy olyan appba, amelyet az imént töltöttél le - és amelyet a fenti módszerrel nem ellenőriztél.

Ez különösen igaz a következő helyzetekre:

• Telefont cseréltél, és visszaállítanád a régi tárcádat.
• Egy új appban szeretnéd elérni azt a tárcát, amelyet korábban más alkalmazásban hoztál létre.
• „Megerősítés” vagy „szinkronizálás” céljából kér seed phrase-t az app.

Ha egy frissen telepített app az első induláskor azonnal bekéri a seed phrase-t, az önmagában is gyanús jel - a legitim appok is kérik, de a hamis appok azt teszik egyetlen fókuszpontjukká.

Telepítés előtt ellenőrizd:

• A publisher neve karakterről karakterre egyezik a projekt hivatalos weboldalán megadottal
• A letöltésszám arányos az app ismertségével (ismert wallet = millió feletti letöltés)
• Az utolsó frissítés nem régebbi néhány hónapnál
• Az értékelések változatosak, szövegszerűek, nem generikusak
• A letöltési linket a projekt saját weboldaláról követted - nem egy keresési találatból, nem hirdetésből, nem közösségi médiában megosztott linkből
• A letöltés után, de az appba való belépés ELOTT: ismét megnyitod a weboldalát, és összeveted az app ikon-designját és verziószámát a hivatalos leírással

Milyen más módszereken juthatnak hamis apphoz?

A store-on kívül is van kockázat. Hirdetésből kattintott link („letöltsd a legújabb MetaMask verziót”), közösségi médiában megosztott APK-fájl, Discord-csoportban küldött „exkluzív” link - ezek mind megkerülik a store-ellenőrzést, és közvetlenül terjesztik a hamis szoftvert. A Google-hirdetésből érkező hamis oldalakról külön cikkben írunk. Különösen veszélyes az APK-fájl (Android-telepítőcsomag, amit az app store-on kívülről töltesz le) terjesztése, mert teljesen megkerüli a Play Store szűrőit. Ezeket a forrásokat nem érdemes egyáltalán mérlegelni: a wallet-appokat kizárólag az App Store-ból vagy a Google Play-ből töltsd le, a projekt hivatalos weboldaláról indított keresztellenőrzéssel.

Kulcs-tanulságok

• A hamis wallet-appok a seed phrase ellopásával teljes vagyonhoz juthatnak, visszafordíthatatlanul.
• A publisher neve az egyetlen kritikus mező: egyetlen karakteres eltérés is hamis appot jelezhet.
• A web-to-store keresztellenőrzés a legmegbízhatóbb módszer: a projekt weboldaláról navigálj a store-listingre, ne fordítva.
• Meglévő seed phrase-t csak akkor írj be appba, ha elvégezted az összes fenti ellenőrzést.
• A letöltésszám és az értékelések proflja hasznos másodlagos jelek, de önmagukban nem elegendők.

Mit jelent ez neked?

A legtöbb hamis wallet-app azokat az embereket ejti csapdába, akik sietnek - telefont cserélnek, gyorsan vissza akarják állítani a tárcájukat, és az ellenőrzési lépéseket kihagyják. Ha egyszer megtanulod a publisher-nevet és a web-to-store módszert, a telepítés nem tart tovább öt perccel, de megvédi azt, amit esetleg évek alatt gyűjtöttél össze. A felkészülés nem bonyolult - csak szokássá kell tenni. Ha komolyabb összeget tartasz, érdemes hardvertárcát is fontolóra venni - az a privát kulcsot teljesen offline tartja. Az összes biztonsági csapda összefoglalóját itt találod.