三名用戶聲稱假 Sparrow Wallet 偷走近 180 萬美元，控告 Apple

三名用戶指控 Apple 審核失守

三名用戶 James Ramirez、Christopher Ellis 同 Jalen Delgado 喺 7 月 24 日入稟加州聯邦法院，聲稱佢哋喺 2025 年 5 月至 8 月間下載假 Sparrow Wallet，分別損失約 87.5 萬、84 萬同 12 萬美元 Bitcoin，合共約 183.5 萬美元。佢哋要求 Apple 賠償損失、支付額外賠償，同改善 App Store 審核及警告。呢啲暫時全部係原告指控，法庭未有裁決。Apple 回應話已移除冒認 Sparrow Wallet 嘅 app，亦終止咗相關 developer account。

圖片：Sparrow Wallet

假 app 攞到 recovery phrase，硬件 wallet 都守唔住

真正 Sparrow 官方下載頁只列出 macOS、Windows 同 Linux，冇 iOS 版。早前 Ramirez 對騙徒提出嘅另一宗案件，法院文件記錄佢由 App Store 下載「Sparrow Multi-Sig」，跟住按畫面要求輸入 recovery phrase。app 隨即顯示匯入失敗，但佢轉返官方桌面版查看時，7.4 BTC 已經俾人轉走。嗰份文件按當時價值寫約 86.5 萬美元，今次訴狀就列約 87.5 萬美元，兩個數字只宜視作唔同時間嘅美元估值。

圖片：Apple

App Store 有審核，身份核實仍然可以穿窿

Apple 嘅 App Review Guidelines 寫明，crypto wallet app 要由以機構身份登記嘅開發者提供，涉及金融服務嘅 app 亦應由實際提供服務嘅法人提交。Apple 又話 2025 年審核咗超過 910 萬個 app submission，拒絕超過 200 萬個，當中逾 37.1 萬個涉及抄襲、誤導或垃圾內容。規則同規模都有，不過今次指控反映，Apple 核實 wallet 名稱、商標同開發者身份嗰關，仍然有機會走漏眼。

Apple 自己亦承認，2025 年移除咗近 5.9 萬個先扮普通遊戲或工具、通過審核後先改成詐騙用途嘅 app。即係話，審核通過只代表 Apple 喺某個時間點睇過提交版本，唔代表之後每個畫面、server 回應同開發者身份都永久可信。對 crypto wallet 嚟講，開發者身份本身就係重要安全關口。所以 App Store 有得下載，最多只代表多過一重審查，唔等於個 app 一定係官方版本。

下載 wallet，先由官方網站反查

最穩陣嘅做法係由項目官方網站搵下載入口，逐字核對網址、支援平台同 developer 名稱，唔好由 App Store 搜尋結果、廣告、私訊連結或者陌生 QR code 開始。以 Sparrow 為例，官方頁清楚列明得桌面版，如果有 iPhone app 冒認 Sparrow 官方版本，或者用 Sparrow 名義要求你輸入 recovery phrase，就唔好下載或輸入資料。桌面軟件最好再按官方指引核對簽署檔同 SHA-256 hash，避免下載檔案中途俾人換走。

Recovery phrase 唔係普通密碼

Recovery phrase／seed phrase 係成個 wallet 嘅主備份，任何人攞到完整字詞同次序，都可以喺另一部裝置重建私鑰，唔使攞到原本個硬件 wallet，亦唔使知道個 PIN。只有當你主動復原 wallet，而且已核實裝置、軟件同來源，先應跟官方流程輸入；客服、網站、Telegram 管理員或者突然彈出嚟嘅 app 要你交 seed，全部應即刻停手。硬件 wallet 嘅保護亦有界線：seed 一外洩，塊硬件唔會自動令舊 seed 失效。

已經輸入過，就當個 wallet 即時失守

如果 recovery phrase 曾經輸入可疑 app，刪 app、改 PIN或者重裝手機都補唔返個窿。應該用另一部可信裝置建立一個全新 wallet 同全新 seed，即刻將未俾人轉走嘅資產搬過去，舊 seed 永久停用，亦唔好用舊 seed 喺新硬件上復原。資產已經離開就保留交易 ID、收款地址、時間、App Store 頁面同畫面紀錄，再向 Apple、警方同資產流入嘅交易所舉報；鏈上交易確認後通常冇得逆轉，聲稱收費包追回資產嘅「專家」亦可能係第二輪騙局。

呢宗訴訟最後點判，仲要等 Apple 正式答辯同法庭處理。不過安全做法而家已經好清楚：涉及 self-custody wallet，先核對官方支援平台；任何要求 recovery phrase 嘅畫面，都要當成最高風險操作。

參考來源

• 9to5Mac — Three customers sue Apple after fake wallet app wipes out their Bitcoin — original report
• Ramirez et al v. Apple Inc. — Complaint — 今次案件訴狀連結，用嚟核對原告要求、指控同損失數字。
• Ramirez v. Doe et al — Order and Reasons — 法院文件記錄 Sparrow Multi-Sig、輸入 seed phrase、7.4 BTC 損失同資金流向。
• Sparrow Wallet 官方下載頁 — 確認官方只提供 macOS、Windows 同 Linux 版本，亦載有簽署及 hash 核實方法。
• Apple App Review Guidelines — 核對 crypto wallet、開發者機構身份、冒認同誤導內容相關審核規定。
• Apple：2025 年 App Store 防詐數據 — Apple 官方交代審核規模、拒絕數字同 bait-and-switch app 移除紀錄。
• Trezor：wallet backup 外洩後搬走資產指引 — 官方安全指引，支持建立新 seed、即時轉走資產同停用舊 wallet 嘅處理方法。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。