Fiducia nelle crypto in frantumi: come una falsa app Ledger ha saccheggiato milioni sotto gli occhi di Apple

È iniziato come qualsiasi altro download: un tocco impaziente sull’Apple App Store, un familiare logo blu e bianco, recensioni rassicuranti e la promessa di sicurezza. Nel giro di pochi giorni, più di 50 possessori di criptovalute hanno visto svanire le proprie fortune digitali, vittime di una sofisticata falsa app Ledger Live che ha aggirato le difese di Apple e messo a segno uno dei furti crypto più sfacciati dell’anno.

L’anatomia di un colpo digitale

Tra il 7 e il 13 aprile, un’app malevola che si spacciava per il fidato wallet “Ledger Live” ha sottratto silenziosamente milioni in asset crypto. Lo schema è stato scoperto dall’investigatore on-chain ZachXBT, che ha tracciato i fondi rubati mentre venivano rapidamente convogliati attraverso una rete di wallet e infine riciclati tramite KuCoin-uno dei maggiori exchange crypto al mondo-e un servizio di mixing centralizzato chiamato “AudiA6”.

L’app falsa replicava l’interfaccia ufficiale di Ledger fin nei dettagli: logo, categoria aziendale e persino recensioni entusiastiche. Pubblicata da “Leva Heal Limited” e sviluppata da “SAS Software Company”, la facciata credibile ha indotto gli utenti a inserire informazioni sensibili del wallet, consegnando accesso diretto ai propri asset digitali. Una volta dentro, gli attaccanti si sono mossi in fretta, svuotando gli account e instradando i fondi attraverso oltre 150 indirizzi di deposito prima di offuscare le transazioni con servizi di mixing-rendendo la scia del denaro quasi impossibile da seguire.

La portata dell’attacco è stata impressionante. Le perdite individuali sono salite fino a milioni, con i furti più grandi in un singolo giorno che includevano 3,23 milioni di dollari in USDT e 2,08 milioni di dollari in USDC. La falsa app Ledger Live è rimasta online solo per pochi giorni, ma i danni sono stati rapidi e devastanti.

Chi sorveglia lo store?

Quest’ultimo episodio non è un errore isolato. Il processo di revisione delle app di Apple ha ripetutamente fallito nell’intercettare imitatori sofisticati, dai password manager ai wallet crypto. Una falsa “Rabby Wallet” e un clone di “LastPass” sono passati di recente, esponendo gli utenti al furto di credenziali e a perdite finanziarie. Persino lo store di Microsoft è stato ingannato da una Ledger Live fasulla alla fine del 2023, con il risultato di centinaia di migliaia di dollari in Bitcoin ed Ethereum rubati.

Parte della confusione deriva dal rebranding in corso di Ledger-da “Ledger Live” a “Ledger Wallet”-che ha creato un terreno fertile per gli impersonatori. Gli utenti che cercano l’app “giusta” restano vulnerabili a sosia con nomi convincenti e interfacce familiari. Nel frattempo, exchange come KuCoin, già sotto scrutinio regolatorio per carenze nelle misure antiriciclaggio, si ritrovano complici inconsapevoli mentre i fondi rubati transitano nei loro sistemi.

Sebbene Apple abbia ora rimosso l’app falsa, l’incidente solleva domande urgenti: quante altre app clone si nascondono sulle piattaforme mainstream? E gli utenti possono davvero fidarsi dei cosiddetti “giardini recintati” degli app store che gli esperti di sicurezza hanno a lungo indicato come rifugi sicuri?

Conclusione: fiducia, messa alla prova

Per i detentori di crypto, la promessa di sicurezza garantita dagli app store ufficiali si è infranta. Man mano che i ladri digitali diventano più scaltri e i confini tra vero e falso si confondono, la responsabilità ricade sia sui giganti tecnologici sia sugli utenti, chiamati a restare vigili. Finché i processi di revisione non terranno il passo con l’innovazione criminale, ogni download è un rischio-e ogni app, un potenziale cavallo di Troia.

TECHCROOK

Per ridurre il rischio di furti tramite app clone e phishing legati ai wallet, una misura concreta è usare un hardware wallet come Ledger Nano X, che mantiene le chiavi private isolate dallo smartphone e richiede la conferma fisica delle transazioni sul dispositivo. Supporta numerose reti e token (tra cui Bitcoin ed Ethereum) tramite l’app companion ufficiale, con protezione tramite PIN e frase di recupero. La connettività Bluetooth/USB consente l’uso in mobilità, ma il punto chiave resta la firma “offline”: anche se un’app malevola tenta di ingannare l’utente, la transazione deve essere verificata sul display del wallet. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

Ledger Nano X è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Servizio di mixing: Un servizio di mixing mescola transazioni in criptovaluta di vari utenti, rendendo più difficile risalire alla fonte originale e alla destinazione dei fondi.
• Credenziali del wallet: Le credenziali del wallet sono chiavi private o frasi di recupero necessarie per accedere, controllare e mettere in sicurezza un wallet di criptovalute. Proteggetele per prevenire accessi non autorizzati.
• Processo di revisione dell’App Store: Il processo di Apple per esaminare e approvare app e aggiornamenti, al fine di garantire sicurezza, privacy e conformità prima che compaiano sull’App Store.
• App impersonatrice: Un’app impersonatrice imita un’app legittima per ingannare gli utenti, spesso per rubare dati personali, credenziali o denaro. La vigilanza aiuta a prevenire queste minacce.
• Anti: “Anti” si riferisce a metodi usati dal malware per evitare il rilevamento o l’analisi da parte di strumenti di sicurezza e ricercatori, rendendo le minacce più difficili da studiare o fermare.