Rabby Wallet: мошенник из App Store

Февраль 2024 года. В официальном Apple App Store появляется поддельный криптокошелёк Rabby Wallet. Пользователи устанавливают его, доверяют свои данные и вскоре обнаруживают пропажу средств. Приложение, которое должно было защищать криптоактивы, превращается в инструмент их кражи.

В феврале 2024 года пользователи криптовалют столкнулись с неожиданной угрозой. Мошенники разместили в Apple App Store приложение под названием Rabby Wallet & Crypto Solution, которое выдавало себя за популярный криптокошелёк Rabby Wallet от команды DeBank.

Внешне всё выглядело достаточно убедительно. Приложение находилось в официальном магазине Apple, использовало узнаваемое название и предлагало привычную для криптокошельков процедуру восстановления доступа. Для человека, который хотел воспользоваться Rabby Wallet на iPhone, такая находка могла показаться совершенно обычной.

Однако за знакомым названием скрывалась ловушка.
Один из пострадавших впоследствии рассказал журналистам Cointelegraph Magazine, что не сомневался в подлинности приложения. Главной причиной доверия стал сам факт его присутствия в App Store. Пользователь полагал, что Apple проверяет программы перед публикацией, а значит, откровенно мошенническое приложение не должно было попасть в каталог.

Последствия проявились почти сразу. Примерно через 20–30 минут после установки он открыл Rabby Wallet на ноутбуке и обнаружил, что баланс практически обнулился.

При этом речь шла не о взломе инфраструктуры настоящего Rabby Wallet. Мошенники использовали поддельный интерфейс, чтобы получить доступ к секретным данным пользователей и затем вывести криптовалюту из их кошельков

Одним из первых публично рассказал о случившемся пользователь X под ником Bthemouth. Он сообщил, что загрузил приложение, похожее на Rabby Wallet, из App Store и импортировал в него seed-фразу — секретную комбинацию слов, позволяющую восстановить доступ к криптокошельку.
После этого большая часть его криптоактивов исчезла.
Seed-фраза фактически предоставляет полный контроль над средствами. Получив её, злоумышленник может восстановить кошелёк на другом устройстве и отправить криптовалюту на собственные адреса. Для этого ему не требуется получать доступ к телефону жертвы или взламывать блокчейн.
Именно поэтому поддельные криптокошельки представляют особую опасность: пользователи сами передают мошенникам ключ к своим активам, не подозревая, что взаимодействуют с фальшивым приложением.
История Bthemouth оказалась не единственной. В социальных сетях, на Reddit и в сообществах Rabby Wallet появлялись новые жалобы. Один пользователь утверждал, что потерял около $5 000, другой сообщал о потере значительной части своего инвестиционного портфеля. Пострадавшие обращались в поддержку Apple, пытаясь добиться удаления приложения и выяснить, возможно ли вернуть деньги.

Но мошенническая программа продолжала оставаться доступной для скачивания.

16 февраля команда настоящего Rabby Wallet публично предупредила пользователей, что приложение для iOS всё ещё проходит проверку Apple, а появившийся в магазине кошелёк является подделкой. Разработчики призвали скачивать программное обеспечение исключительно через официальный сайт.

Ситуация выглядела особенно парадоксально: настоящий криптокошелёк ещё ожидал одобрения, а приложение, использовавшее чужое имя, уже находилось в App Store.

По данным Cointelegraph Magazine, подделка оставалась в магазине около четырёх дней. 19 февраля 2024 года Apple удалила её, а также сообщила о намерении исключить разработчика из Apple Developer Program.

Главный вопрос заключался не только в том, как мошенники сумели обойти проверку Apple. Значение имело и то, какую роль сыграла репутация самого магазина приложений.

App Store воспринимается многими пользователями как относительно безопасная среда. В отличие от случайного сайта с файлом для загрузки, официальная площадка создаёт ощущение предварительной проверки. В случае с поддельным Rabby Wallet это доверие стало одним из факторов, которыми воспользовались злоумышленники.

Для пострадавших разница между настоящим и фальшивым приложением обнаружилась слишком поздно. Криптовалюта уже покинула их кошельки, а её дальнейшее движение скрывалось за цепочкой блокчейн-транзакций.

Именно эти транзакции впоследствии стали отправной точкой для расследования Cointelegraph Magazine, которое вывело журналистов далеко за пределы истории одного приложения.

Мошенническое приложение называлось Rabby Wallet & Crypto Solution, а его разработчиком в App Store значилась компания Solution Development. Оно использовало название, символику и визуальный стиль настоящего Rabby Wallet, благодаря чему пользователь мог принять подделку за официальный продукт.

На странице приложения размещались изображения интерфейса криптокошелька и обещания безопасного управления цифровыми активами. Но главное преимущество мошенников заключалось в другом: их программа находилась в официальном магазине Apple и выглядела как обычное приложение, прошедшее проверку платформы.

Несмотря на публичное предупреждение и жалобы пострадавших, приложение не удалили немедленно. Ещё 19 февраля журналисты сообщали, что подделка продолжает находиться в App Store. Позднее в тот же день Apple убрала её из магазина.

Компания заявила, что её правила запрещают мошеннические приложения, и сообщила о решении исключить ответственного разработчика из Apple Developer Program.

Однако для пострадавших эти меры уже ничего не меняли. В социальных сетях пользователи обвиняли Apple в недостаточной проверке приложений. Особенно остро звучал вопрос: как мошенническая копия смогла получить одобрение раньше настоящего Rabby Wallet?

Удаление программы остановило её дальнейшее распространение через App Store, но не помогло автоматически вернуть похищенную криптовалюту. Теперь главным источником информации о произошедшем становились записи в блокчейне — именно по ним исследователи начали восстанавливать маршрут украденных средств.

После удаления поддельного Rabby Wallet из App Store расследование не закончилось. Хотя мошенники могли скрывать свою личность, переводы криптовалюты оставляли следы в блокчейне. Именно они позволили исследователям восстановить часть маршрута похищенных средств.

Одну из первых зацепок предоставил пострадавший пользователь X под ником Bthemouth. Он публично указал несколько адресов, на которые, по его данным, поступили украденные активы. Среди них был кошелёк 0x652...0371F, получивший в расследовании условное название Rabby Drainer (RD).

Анализ транзакций показал, что средства проходили через несколько промежуточных кошельков и сервис Rhino — кроссчейн-мост, позволяющий перемещать активы между блокчейн-сетями. Подобные операции усложняют отслеживание денег: активы поступают на один адрес, а после обменов и переводов могут появиться в другом месте.

По данным Cointelegraph Magazine, 19 февраля 2024 года средства нескольких пострадавших были объединены и частично конвертированы в Ethereum. Затем около $173 тысяч в ETH поступили в Rhino. Исследователи Tay и SomaXBT установили предполагаемый выходной адрес моста — 0x4E93...c71C2, который получил сопоставимую сумму в USDT.

Но наиболее интересная находка обнаружилась при изучении операций выходного кошелька Rhino. Он получал средства не только по маршруту, связанному с поддельным Rabby Wallet, но и от другого адреса - 0x44Bd...9E480.

Этот адрес ранее отображался на NFT-площадке OpenSea под именем Konpyl. Позднее название аккаунта изменилось, однако прежняя метка сохранилась в данных аналитической платформы Arkham Intelligence.

С февраля по июль 2024 года адрес Konpyl совершил шесть переводов на тот же выходной кошелёк Rhino. Их общая сумма составляла около $100 тысяч. Таким образом, исследователи обнаружили пересечение между маршрутом средств пострадавших и операциями адреса, связанного с именем Konpyl.

Сама по себе эта связь ещё не доказывала, что владелец адреса Konpyl создал мошенническое приложение или непосредственно похищал криптовалюту. Один кошелёк может взаимодействовать с разными участниками рынка, в том числе через обменные сервисы.

Однако совпадение маршрутов дало расследователям конкретную зацепку. Konpyl перестал быть просто именем в истории транзакций и превратился в ключевую точку для поиска других связанных эпизодов

Связь с кошельком Konpyl оказалась не единичным совпадением. Продолжив изучать транзакции, исследователи обнаружили, что этот адрес фигурировал и в других подозрительных криптовалютных операциях, некоторые из которых произошли задолго до появления поддельного Rabby Wallet в феврале 2024 года.

Частный расследователь, сотрудничавший с правоохранительными органами, сообщил Cointelegraph Magazine, что обнаружил связи Konpyl как минимум с 20 предполагаемыми случаями мошенничества. Журналисты самостоятельно проверили блокчейн-данные и подтвердили взаимосвязи в семи случаях. При этом подтверждение связей между адресами не означает установления личности злоумышленника.

Особенно примечательным оказалось то, что поддельный Rabby Wallet использовался мошенниками ещё в конце 2023 года. По данным расследования, как минимум два кошелька, связанных с той версией схемы, получили около $93 тысяч от пострадавших. Следы средств привели к тому же выходному адресу Rhino, который позднее обнаружили при анализе февральских краж.

Дальнейший анализ вывел журналистов на ещё более старые операции. В одном из эпизодов пострадавший сообщил на Reddit о краже криптовалюты с использованием схемы, связанной с Ledger. Исследователи обнаружили, что подозрительные адреса взаимодействовали с кошельками, использовавшимися для переводов на биржу YoBit.

Один из этих депозитных адресов, согласно данным Arkham Intelligence, регулярно получал средства от Konpyl. В период с сентября 2020 по февраль 2021 года с адреса Konpyl на него поступило более $41 тысячи в ETH через 23 транзакции. Это расширило временные рамки расследования на несколько лет назад.

По оценке Cointelegraph Magazine, только февральская подделка Rabby Wallet была связана с потерями более $1 млн по адресам, указанным в публичных жалобах. Дополнительные подозрительные кошельки, более ранняя версия поддельного приложения и другие фишинговые эпизоды увеличили совокупную оценку ущерба до $1,6 млн.

Но речь не шла об одном доказанном преступлении или едином установленном организаторе. Исследователи выявили сеть пересекающихся транзакций, общих депозитных адресов и маршрутов вывода криптовалюты. Такие совпадения позволяли предполагать связь между эпизодами, но не доказывали, что всеми кошельками управлял один человек.

Главная интрига расследования заключалась теперь в другом: кто именно стоял за именем Konpyl?

Расследование Cointelegraph Magazine вышло за пределы блокчейна, когда частный детектив передал журналистам документы KYC (Know Your Customer). Такие документы используются криптовалютными биржами для проверки личности клиентов.

В полученных материалах фигурировало имя Константина Пылинского (Konstantin Pylinskiy) — руководителя дубайской инвестиционной компании Moonward Capital. Журналисты также обнаружили, что Пылинский использовал никнейм @konpyl в X и Telegram, совпадающий с прежней меткой подозрительного криптокошелька.

Однако у этой находки было существенное ограничение. Среди изученных документов встречались поддельные удостоверения личности и вымышленные данные. Поэтому Cointelegraph отдельно подчеркнул: появление имени Пылинского в KYC-документах не доказывает, что именно он управлял кошельком Konpyl или участвовал в мошенничестве.

Журналисты попытались получить объяснения напрямую через Telegram. Аккаунт Konpyl сначала ответил на обращение, но после вопросов о связи между Пылинским, криптовалютными адресами и поддельным Rabby Wallet переписка прекратилась. Moonward Capital также первоначально не ответила на запрос о комментарии.

Ситуация изменилась после публикации расследования 16 октября 2024 года. Пылинский связался с редакцией, отверг обвинения и назвал сведения о своей связи с адресом Konpyl дезинформацией. По его словам, он сам стал жертвой кампании шантажа: неизвестные требовали вернуть якобы похищенные средства и угрожали ему.

В подтверждение своей позиции он передал журналистам скриншоты сообщений с подобными требованиями. 20 октября Пылинский также опубликовал официальное заявление от имени Moonward Capital, в котором отрицал участие компании и своё личное участие в мошеннических схемах и сообщил о случаях создания поддельных аккаунтов от его имени.

Cointelegraph также сообщил, что подтвердил в одном из государственных ведомств США наличие расследования, связанного с адресом Konpyl. При этом из опубликованных сведений не следовало, что Пылинскому предъявлены обвинения или его личное участие в преступлениях доказано.

Таким образом, журналисты обнаружили несколько пересекающихся зацепок: блокчейн-транзакции, прежнюю метку OpenSea, никнеймы в социальных сетях и KYC-документы. Но ни одна из них по отдельности, как и их совокупность без дополнительной проверки, не позволяла достоверно установить личность человека, совершившего кражи.

После кражи криптовалюты пострадавшие от поддельного Rabby Wallet объединились в группу, чтобы обмениваться информацией и добиваться расследования. Они собирали адреса подозрительных кошельков, изучали транзакции и пытались привлечь внимание Apple и правоохранительных органов.

Однако со временем надежда на возвращение средств становилась всё слабее.
19 февраля 2024 года Apple удалила мошенническое приложение из App Store. Представитель компании подтвердил журналистам 9to5Mac, что правила магазина запрещают приложения с обманным содержанием, а разработчик подделки будет исключён из Apple Developer Program. Но удаление приложения не означало возврата уже похищенных активов.

Для Bthemouth, одного из первых публично рассказавших о мошенничестве, история фактически зашла в тупик. В разговоре с Cointelegraph Magazine он признался, что сделал всё возможное для возврата денег, но больше не продолжает эти попытки. По его словам, группа пострадавших постепенно распалась, поскольку люди вернулись к своей повседневной жизни.

При этом расследование полностью не остановилось. На момент публикации Cointelegraph в октябре 2024 года правоохранительные органы и независимые блокчейн-аналитики продолжали изучать подозрительные адреса. Журналисты также подтвердили наличие расследования в США, связанного с кошельком Konpyl.

История поддельного Rabby Wallet продемонстрировала главное противоречие криптовалютных расследований. В публичном блокчейне можно проследить движение миллионов долларов, обнаружить связанные адреса и восстановить последовательность переводов даже спустя годы.

Но проследить деньги - не значит установить преступника или вернуть похищенное. За адресами могут скрываться посредники, обменные сервисы и неизвестные владельцы, а цифровые совпадения не всегда позволяют доказать личную причастность конкретного человека.

Если ваша компания или вы лично потеряли криптовалюту, важно понять не только куда ушли средства, но и что можно предпринять дальше. Команда AML Crypto расследует такие случаи: отслеживает движение активов, готовит материалы для правоохранительных органов, сопровождает взаимодействие с криптосервисами и участвует в судебных делах в качестве экспертов. На бесплатной первичной консультации обсудим обстоятельства и объясним, чем можем помочь. Работаем по договору, без гарантий возврата: перспективы зависят от конкретной ситуации.