Last Updated on 2026年7月30日 by oba3
アップル（Apple）が運営するアップストア（App Store）で偽のビットコインウォレットが配布され、利用者3人が合計約180万ドル相当の暗号資産を失ったとして、米カリフォルニア州の連邦裁判所に訴訟が起こされた。訴状によると、被害者の一人は約87万5000ドル相当のビットコインを盗まれた当日に偽アプリを報告したが、その約1週間後にも別の利用者が同様のアプリを導入し、約84万ドル相当を失ったという。現段階では原告側の主張であり、アップルの法的責任が認定されたわけではない。焦点は盗難額だけではなく、事前審査を通過したアプリについて警告を受けた後、配布停止までにどのような確認と削除を行う責任があるかにある。
何が起きたのか？
ジェームズ・ラミレス氏ら3人は2026年7月24日、アップルを相手取り、偽のスパロー・ウォレット（Sparrow Wallet）がアップストアで配布されたことによって合計約180万ドル相当の暗号資産を失ったとして訴えを起こした。
スパロー・ウォレットの正規版は、ウィンドウズ、マックOS、リナックス向けに提供されるビットコインウォレットであり、アイフォーン（iPhone）向けの正規アプリは存在しない。訴状によると、偽アプリは正規サービスを装い、利用者にウォレットの復元に使うシード句を入力させた。その後、攻撃者が同じウォレットを別の端末で復元し、保有資産を外部アドレスへ移したとされる。
原告の一人は2025年5月ごろに偽アプリを導入し、約1.05ビットコイン、当時約12万ドル相当を失ったと主張している。ラミレス氏は7月25日にアプリを導入し、7.4ビットコイン、約87万5000ドル相当を失ったとしている。
訴状では、ラミレス氏が盗難と偽アプリを同日中にアップルへ報告したにもかかわらず、8月3日ごろに別の原告がアップストアから同様の偽アプリを導入し、約84万ドル相当を失ったとされる。原告側は、この時間差がアップルの監視と削除対応の不十分さを示すと主張している。
また、偽アプリが検索結果で上位に表示され、暗号資産関連アプリの一覧にも掲載されたとの主張がある。正規版の開発者も2024年1月、偽のスパロー・ウォレットを数週間前から報告していたにもかかわらず、掲載が続いていると公に警告していた。
アップルは、スパロー・ウォレットを装ったアプリを速やかに削除し、関係する開発者アカウントを停止したと説明している。同社は、規則違反が確認されたアプリへ直ちに対応しているとの立場であり、原告側の主張とは対応時期や十分性を巡って見解が分かれている。
なぜ重要なのか？
アプリ市場の事前審査は、プログラムが配布時点で明らかな不正機能を持っていないかを確認する工程である。しかし、暗号資産ウォレットを装う詐欺では、アプリが端末の脆弱性を悪用しなくても、利用者にシード句を入力させるだけで資産を盗める。
そのため、一般的なマルウェア検査を通過したことと、ウォレットとして正当であることは同じではない。サービス名、開発者情報、公式サイト、対応端末、過去の配布履歴を照合しなければ、外見だけを正規版に似せたアプリを見抜けない場合がある。
今回の訴訟で重要なのは、最初の審査に失敗したかだけではない。利用者や正規開発者から偽装の報告を受けた後、アプリ市場運営者が検索表示を止め、配布を停止し、同じ開発者や類似アプリを調査するまでにどれだけ時間を要したかが問われている。
偽ウォレットでは、報告後もアプリが利用可能な状態に残れば、新しい被害者がシード句を入力するたびに追加の盗難が起こり得る。初期審査よりも、通報後の削除速度が実際の被害総額を左右する場合がある。
市場構造への影響
自己管理型ウォレットの利用者は、自ら秘密鍵を保管する一方、どのソフトウェアを信頼するかを判断しなければならない。多くの利用者は開発者の署名やソースコードを確認できないため、公式アプリ市場に掲載されていることを安全性の判断材料にしている。
アプリ市場運営者は、ウォレットを開発する主体でも、利用者資産を保管する主体でもない。しかし、検索順位、推奨欄、開発者登録、配布停止を管理しており、利用者とソフトウェア開発者を結ぶ入口を支配している。この配布機能にどこまで安全確認の責任が伴うかが争点となる。
裁判所が、警告後も偽アプリを配布したことについて一定の責任を認めれば、アプリ市場は暗号資産関連ソフトに追加審査を導入する可能性がある。正規事業者の公式ドメイン確認、既存商標との照合、ウォレット名の重複検査、シード句入力画面の確認などが対象になり得る。
削除後の再登録を防ぐ仕組みも必要になる。同じ偽装業者が名称、画像、開発者アカウントを変更して再び申請できれば、一つのアプリを消しても配布経路は残る。開発者の本人確認、関連アカウントの追跡、過去に拒否されたコードとの照合が重要になる。
一方、暗号資産アプリだけに重い審査を課せば、正規の小規模ウォレット開発者が配布市場へ参入しにくくなる可能性がある。安全基準を高める場合も、企業規模ではなく、開発者の真正性とアプリの動作を確認できる制度にする必要がある。
資金・規制・流動性との関係
シード句が偽アプリへ入力されると、攻撃者は元の端末へ再び接触しなくても資産を移動できる。ブロックチェーン上では正しい秘密鍵で署名された送金として処理されるため、ウォレット開発者やアップルが後から取引を取り消すことは通常できない。
この不可逆性により、偽ウォレットの削除が遅れるほど被害回復は難しくなる。盗まれた資産が複数のアドレス、交換所、ブリッジなどへ移されれば、追跡できても実際に凍結、返還できるとは限らない。
原告側は盗まれた資産の返還に相当する損害賠償に加え、補償的損害、懲罰的損害、弁護士費用などを求めている。また、偽アプリの検出と削除手順を改善し、その仕組みを公表することや、暗号資産アプリの危険性を利用者へ警告する措置も求めている。
ただし、損失額の全額をアプリ市場運営者へ負担させるかは別の問題である。裁判では、利用者がシード句を入力した行為、偽アプリの設計、アップルの表示や審査、通報後の対応がそれぞれ損失へどの程度関係したかが検討される可能性がある。
責任が認定されれば、アプリ市場運営者は暗号資産ウォレットの配布に伴う損害リスクを新たな運営費として負うことになる。審査人員、継続監視、通報処理、開発者確認への支出が増え、ウォレット開発者に求める保険や保証の条件が厳しくなることも考えられる。
初心者向け補足
シード句は、ウォレットを復元するための単語列である。アプリのログインパスワードとは異なり、第三者へ知られると別の端末から同じ資産を操作される可能性がある。正規のサポート担当者やアプリ市場運営者が入力を求めるものではない。
公式アプリ市場に掲載されていることは、非公式サイトから取得する場合より危険を減らす材料にはなる。しかし、掲載中のアプリが正規サービスであることや、将来の更新後も安全であることを保証するものではない。
ウォレットを導入する際は、プロジェクトの公式サイトから配布先を確認し、開発者名、対応端末、公開日、利用者評価を照合する必要がある。正規版が存在しない端末向けアプリが表示された場合は、名称が同じでも利用すべきではない。
Web3Timesの視点
今回の訴訟を約87万5000ドルの個別盗難として読むと、アプリ配布市場の役割を見落とす。見るべきなのは、偽アプリが最初の審査を通過した時点だけではなく、被害者や正規開発者から警告を受けた後も、新しい利用者が導入できる状態が続いたとする時間軸である。
自己管理型ウォレットでは、秘密鍵の管理責任は利用者にある。しかし、利用者が正規ソフトへ到達する経路は、検索エンジン、広告、アプリ市場、開発者アカウントによって仲介されている。自己保管だから配布者の責任が存在しないとは言い切れない。
特にアップストアのように事前審査と安全性を強調する市場では、掲載そのものが利用者の信頼を生む。検索順位や特集欄へ表示された場合、その信頼はさらに強くなる。裁判では、この表示が単なる技術的な配布だったのか、利用者へ正当性を示す事実上の推薦だったのかが重要になる。
今後確認すべきなのは最終的な賠償額だけではない。最初の通報日時、削除日時、同じ偽装業者が配布したアプリ数、通報から検索除外までの時間、正規開発者を確認する手続きが焦点となる。
偽ウォレットへの対策は、利用者へシード句を守るよう求めるだけでは不十分である。開発者の本人確認、名称のなりすまし検出、通報後の即時配布停止、類似アプリの横断調査まで機能して初めて、安全な配布経路になる。今回の訴訟は、アプリ市場が単なる掲載場所なのか、それとも金融資産へ接続するソフトウェアの安全性を継続的に管理する主体なのかを問う事例である。
