Furto di Bitcoin tramite applicazione falsa di Wasabi Wallet
Un’applicazione falsa di Wasabi Wallet è comparsa sull’App Store di Apple ed è già stata collegata al furto di circa 6 BTC da parte di un utente, secondo i rapporti di monitoraggio della sicurezza nel settore delle criptovalute. Secondo il monitoraggio di Com Feed, l’applicazione malevola è stata presentata come Wasabi Wallet, e rapporti circolanti su X mostrano che una vittima ha perso circa 6 BTC dopo aver interagito con il software fraudolento.
Questo elenco è stato identificato come il 27° clone di wallet crypto trovato sull’App Store di Apple finora quest’anno. I dettagli su come la vittima ha interagito con l’applicazione, inclusa la possibilità che abbia inserito una frase di recupero o utilizzato un altro metodo per svuotare il wallet, non sono stati divulgati nei rapporti iniziali.
Avvertimenti agli utenti
Com Feed ha avvertito gli utenti di verificare attentamente l’applicazione Wasabi Wallet prima di scaricare software presentato sotto il nome del wallet. L’impostore di Wasabi Wallet segnalato si aggiunge a una serie di applicazioni crypto fraudolente che hanno superato il processo di revisione dell’App Store di Apple nel 2023. Secondo il rapporto di monitoraggio, 27 cloni di wallet sono stati ora identificati sull’App Store dall’inizio dell’anno.
L’applicazione falsa di Ledger rimane il caso più significativo tra i cloni segnalati, con circa 9,3 milioni di dollari collegati a furti. Le applicazioni di wallet fraudolente imitano comunemente il marchio e l’interfaccia di prodotti crypto consolidati, rendendo difficile per gli utenti distinguerli da software legittimi basandosi solo sull’aspetto.
Dettagli sul furto
Nel caso attuale, il rapporto iniziale ha specificamente identificato l’applicazione come un drainer falso di Wasabi Wallet, piuttosto che un rilascio ufficiale del progetto wallet. La perdita segnalata di circa 6 BTC colloca anche l’ultimo caso tra i furti individuali più grandi legati a app di impersonificazione di wallet quest’anno. Il valore esatto in dollari dipende dal prezzo di Bitcoin al momento in cui gli asset sono stati prelevati, mentre il rapporto di monitoraggio iniziale ha quantificato la perdita della vittima in BTC, senza fornire una cifra in dollari confermata.
Nessuna informazione nel rapporto iniziale ha identificato lo sviluppatore dietro l’applicazione o spiegato per quanto tempo l’elenco fosse stato disponibile attraverso il marketplace di Apple. Dettagli su se Apple avesse rimosso l’applicazione non sono stati inclusi nelle informazioni disponibili al momento del rapporto.
Incidenti precedenti e metodi di truffa
Un incidente simile ad aprile ha mostrato come le applicazioni fraudolente possano ottenere il controllo dei wallet crypto convincendo gli utenti a divulgare le loro credenziali di recupero.
Il 20 aprile, il musicista americano Garrett Dutton, noto professionalmente come G. Love, ha dichiarato di aver perso 5,9 BTC, del valore di circa 420.000 dollari all’epoca, dopo aver scaricato un software travestito da Ledger Live manager dall’App Store di Apple. Dutton ha detto di aver installato il programma malevolo su un nuovo MacBook e di aver inserito la sua frase seed dopo che l’applicazione glielo ha chiesto.
L’attaccante ha successivamente svuotato una riserva di Bitcoin che Dutton ha detto di aver accumulato per quasi un decennio e che intendeva utilizzare per la pensione. L’investigatore on-chain ZachXBT ha successivamente tracciato i fondi rubati e ha riportato che erano stati trasferiti a indirizzi associati a KuCoin attraverso nove transazioni.
KuCoin ha dichiarato a crypto.news all’epoca che manteneva procedure per monitorare e affrontare attività potenzialmente sospette in linea con i requisiti normativi. L’exchange ha contestato qualsiasi caratterizzazione secondo cui avesse consentito attività illecite e ha detto che la questione era sotto revisione, mentre ha rifiutato di discutere dettagli specifici a causa di considerazioni di sicurezza, privacy e investigative.
Conclusioni e raccomandazioni
L’incidente di aprile è seguito a casi precedenti che coinvolgevano software che impersonava aziende di wallet hardware. Nel 2023, un’app falsa di Ledger è apparsa nel negozio di Microsoft ed è stata collegata a quasi 600.000 dollari di perdite prima che Microsoft riconoscesse che il programma aveva superato il suo processo di revisione.
I proprietari di wallet hanno anche affrontato tentativi di impersonificazione tramite posta fisica, con truffatori che utilizzavano informazioni sui clienti trapelate per inviare lettere contenenti marchi falsificati di Ledger e Trezor. Come riportato in precedenza da crypto.news, alcune lettere istruivano i destinatari a completare un presunto processo di autenticazione obbligatorio prima di una scadenza dichiarata.
I codici QR inclusi nella posta indirizzavano gli utenti a siti web malevoli dove venivano invitati a fornire frasi di recupero di 12 o 24 parole. Una volta inserite, le frasi di recupero potrebbero dare agli attaccanti il controllo sui wallet corrispondenti, consentendo loro di trasferire asset senza richiedere ulteriore autorizzazione dalla vittima.
L’FBI ha documentato separatamente perdite crescenti da frodi legate alle criptovalute negli Stati Uniti. Le perdite legate alle crypto hanno raggiunto circa 11 miliardi di dollari nel 2025, rispetto a circa 9 miliardi l’anno precedente.
L’ultimo rapporto sulla falsa Wasabi Wallet riguarda un’applicazione di impersonificazione e non indica che Wasabi Wallet stesso sia stato compromesso. Il furto segnalato è invece legato a software presentato agli utenti sotto l’identità del wallet.
