App Store và cái bẫy trust: Khi 'chiếc hộp thần kỳ' biến thành cánh cửa cho kẻ trộm
Khi bạn tải một ứng dụng ví Bitcoin từ App Store, bạn có tin rằng Apple đã xác minh nó? Hàng trăm người dùng đã tin, và họ đã mất hàng triệu đô la. Báo cáo từ SlowMist và vụ kiện gần đây chống lại Apple cho thấy một sự thật khó chịu: những kẻ lừa đảo đã lợi dụng lòng tin vào 'chiếc hộp thần kỳ' để đánh cắp seed phrase. Đây không phải là lỗi của blockchain, mà là lỗi của mô hình tin tưởng tập trung.
Vào tháng 1/2025, một nhóm người dùng đã đệ đơn kiện Apple, cáo buộc họ đã không ngăn chặn các ứng dụng ví giả mạo xuất hiện trên App Store. Điển hình là các ứng dụng giả mạo Sparrow Wallet, một ví Bitcoin non-custodial nổi tiếng. CEO của Sparrow, Craig Raw, đã cảnh báo Apple từ một năm trước về các ứng dụng giả mạo, nhưng Apple không hành động. Thậm chí, họ còn đe dọa xóa tài khoản của Craig Raw vì vi phạm chính sách. Trong khi đó, các ứng dụng giả đã lừa được hàng trăm người dùng tải về, nhập seed phrase và mất toàn bộ tài sản. SlowMist ước tính có ít nhất 10 ứng dụng như vậy tồn tại trên App Store, và đặc biệt nhắm vào người dùng Trung Quốc.
Hãy nhìn vào cơ chế review của Apple. Họ kiểm tra ứng dụng dựa trên một bộ quy tắc cứng nhắc, nhưng không thể phân biệt được một ứng dụng ví thật và giả nếu cả hai đều có giao diện giống nhau và không chứa mã độc rõ ràng. Các ứng dụng giả thường không chứa malware ngay từ đầu; chúng chỉ đơn giản là hiển thị một trang đăng nhập giả để lấy seed phrase. Đây là social engineering, không phải kỹ thuật. Apple không thể tự động hóa việc phát hiện ý đồ xấu. Trong 5 năm audit DeFi, tôi chưa từng thấy một lỗ hổng nào dễ khai thác như lòng tin con người. Khi tôi audit các hợp đồng, tôi luôn tìm kiếm các false flag - những điều tưởng như vô hại nhưng có thể gây sập cả pool. Ở đây, false flag chính là App Store. Một false flag, cả pool sập.
Điều này dẫn đến một nghịch lý: người dùng crypto, vốn tự hào về 'non-custodial' và 'self-sovereignty', lại đặt trọn niềm tin vào một cửa hàng ứng dụng tập trung. Họ tải ví từ App Store vì tin rằng Apple đã làm sạch. Nhưng Apple không có chuyên môn về bảo mật crypto. Họ là một công ty điện thoại, không phải một công ty bảo mật tài chính. Trong thế giới DeFi, chúng tôi thường nói: 'Don't trust, verify.' Nhưng ở đây, người dùng đã trust mù quáng. ICOs: nơi lỗ hổng được viết bằng tiền. Ở đây, lỗ hổng được viết bằng trust, và nó còn đắt hơn.
Nhiều người sẽ nói rằng giải pháp là dùng hardware wallet. Nhưng hãy nhìn vào bức ảnh từ báo cáo: kẻ lừa đảo cũng tạo ra các ứng dụng giả mạo Ledger Live. Nếu bạn tải nhầm và nhập seed phrase từ Ledger của bạn, thì hardware wallet cũng vô dụng. Vấn đề không nằm ở công nghệ lưu trữ, mà nằm ở thói quen nhập seed phrase vào bất kỳ giao diện nào. Một góc nhìn khác: sự kiện này cho thấy sự thất bại của mô hình 'gatekeeper' mà Apple đại diện. Nó giống như một DAO governance giả tưởng: quyền lực tập trung vào một nhóm nhỏ, nhưng nhóm đó không có động lực để bảo vệ người dùng. Họ chỉ hành động khi bị kiện. Trong khi đó, các dự án DeFi thường có bug bounty và phản hồi nhanh với lỗ hổng. Apple thì không.
Tôi dự đoán rằng Apple sẽ không thay đổi quy trình review của họ. Họ sẽ thua kiện, trả tiền bồi thường, và tiếp tục để các ứng dụng giả mạo tồn tại. Bởi vì vấn đề là căn cơ: họ không thể kiểm tra ý đồ của developer. Giải pháp thực sự nằm ở phía người dùng: không bao giờ nhập seed phrase vào bất kỳ ứng dụng nào, kể cả trên App Store. Hãy luôn kiểm tra thông tin developer, tải từ GitHub, và sử dụng các công cụ xác thực đa chữ ký. Và nếu bạn vẫn muốn dùng App Store, hãy nhớ: bạn đang giao phó tài sản của mình cho một 'chiếc hộp đen' không có trách nhiệm. Liệu bạn có dám tiếp tục không?