Android Signing-Key gestohlen?

Es gab kein Update der App sondern eine neue separate Version und die
alte Version wurde aus dem Store genommen. Ich vermute, dass der
Signing-Key der Android App geleaked wurde. Nur so kann ich mir solch
ein "Update" erklären.

Mit dem Signing-Key hätte ein Angreifer eine modifizierte Spotify-App
bauen können, die als Update die in der App hinterlegten Zugangsdaten
abfischen hätte können. Allerdings bräuchte der Angreifer immer noch
Zugriff auf den Play-Store Account  von Spotify um das Update
hochzuladen.