Fiducia nelle crypto infranta: l’App Store di Apple infiltrato da sofisticati imitatori di wallet

Quando scarichi un wallet di criptovalute dall’App Store di Apple, ti aspetti sicurezza. Ma le recenti scoperte rivelano una verità inquietante: persino il marketplace di app più rigidamente curato al mondo può essere compromesso da criminali informatici che innovano senza sosta per rubare i tuoi asset digitali.

Dati rapidi

• Sull’App Store di Apple sono state trovate 26 app false di wallet crypto, che imitavano marchi popolari come Coinbase, Ledger e MetaMask.
• Queste app prendevano di mira le frasi di recupero (“seed”) e le chiavi private degli utenti, consentendo il furto completo degli asset crypto.
• La frode ha colpito principalmente utenti con account Apple impostati sulla Cina, aggirando le protezioni dell’App Store.
• Alcune app si camuffavano da strumenti non correlati (giochi, calcolatrici) per non destare sospetti, reindirizzando poi le vittime verso siti di phishing.
• I ricercatori sospettano collegamenti con la campagna del trojan SparkKitty, con funzionalità avanzate come il riconoscimento ottico dei caratteri (OCR) per rubare credenziali.

Dentro il cavallo di Troia dell’App Store

La campagna “FakeWallet” appena scoperta è un campanello d’allarme per gli utenti crypto di tutto il mondo. A differenza di schemi precedenti che si basavano sull’ingannare gli utenti inducendoli a installare app tramite siti loschi e complessi profili di provisioning iOS, questo attacco ha portato sosia di wallet “armati” direttamente nell’App Store-il presunto giardino recintato e sicuro di Apple. Copiando icone e nomi delle app (talvolta con piccoli refusi come “LeddgerNew”), gli attaccanti hanno attirato gli utenti in un falso senso di sicurezza.

Una volta installate, queste app o carpivano informazioni sensibili tramite finti passaggi di verifica, oppure si agganciavano a codice legittimo per intercettare le seed phrase mentre venivano inserite. In alcuni casi, le app non avevano alcun collegamento apparente con le crypto-spacciandosi per innocue utility-finché non sfruttavano reindirizzamenti del browser o profili di provisioning enterprise per installare i payload malevoli. Gli attaccanti hanno personalizzato ciascuna app per imitare interfaccia e comportamento di wallet specifici, rendendo l’individuazione ancora più difficile.

L’analisi tecnica ha rivelato due tattiche principali: l’iniezione di librerie di codice malevolo in cloni di wallet altrimenti funzionanti e la riscrittura completa del codice sorgente per creare sosia con funzionalità nascoste di esfiltrazione dei dati. L’obiettivo finale era semplice ma devastante: catturare le frasi mnemoniche degli utenti, caricarle su server remoti e svuotare i loro wallet prima che le vittime si rendessero conto di cosa fosse successo. Alcune varianti usavano persino l’OCR per rubare credenziali catturate da screenshot o input della fotocamera.

Questa campagna sembra mirata, con la maggior parte della distribuzione che ha interessato utenti i cui account Apple sono impostati sulla Cina. Gli esperti sospettano lo stesso gruppo criminale dietro il trojan SparkKitty dello scorso anno, notando somiglianze linguistiche e un’attenzione costante al furto di criptovalute.

Il panorama più ampio delle minacce

Questo episodio fa parte di una tendenza più ampia: gli autori di malware stanno diventando più audaci e sofisticati, fondendo ingegneria sociale e abilità tecniche. Campagne parallele come “MiningDropper” su Android mostrano che i criminali stanno innovando su più piattaforme, combinando furto di crypto con mining e malware bancari in pacchetti modulari e difficili da rilevare.

Riflessione

Per gli investitori in crypto e per gli utenti di tutti i giorni, questa violazione è un promemoria netto: fidati, ma verifica. Persino gli app store ufficiali non sono immuni alle infiltrazioni, e un singolo download avventato può costarti tutto. Man mano che i criminali informatici alzano il livello delle loro tattiche, vigilanza e scetticismo devono diventare una seconda natura per chiunque gestisca asset digitali.

TECHCROOK

Per ridurre il rischio di furto della seed phrase tramite app wallet false, una contromisura concreta è spostare la custodia delle chiavi su un dispositivo dedicato come Ledger Nano X, hardware wallet che isola le chiavi private dal telefono e firma le transazioni in modo sicuro. Supporta numerose criptovalute, integra un elemento sicuro (secure element) e consente la verifica delle operazioni direttamente sul display, limitando l’impatto di phishing e app trojanizzate che puntano a intercettare credenziali. La connessione Bluetooth/USB facilita l’uso con smartphone e PC, mantenendo la seed offline e sotto controllo dell’utente. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

Ledger Nano X è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Seed Phrase: Una seed phrase è un insieme di parole che funge da chiave maestra per un wallet crypto. Chiunque la possieda può accedere ai tuoi fondi e controllarli.
• Provisioning Profile: Un provisioning profile consente di installare ed eseguire app sui dispositivi al di fuori degli app store ufficiali, permettendo sviluppo sicuro e distribuzione di app aziendali.
• Trojanized App: Un’app trojanizzata è un’applicazione dall’aspetto legittimo modificata di nascosto per includere malware, inducendo gli utenti a installare software dannoso sui propri dispositivi.
• Optical Character Recognition (OCR): Il riconoscimento ottico dei caratteri (OCR) converte testo stampato o scritto a mano presente nelle immagini in dati digitali modificabili e ricercabili.
• Phishing: Il phishing è un crimine informatico in cui gli attaccanti inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o a cliccare su link malevoli.