Gli esperti di Kaspersky hanno individuato 26 app sullo store cinese di Apple che sembrano quelle ufficiali di noti wallet. Quando avviate portano a pagine web con design simile all’App Store, dove i cybercriminali hanno pubblicato app infette che intercettano chiavi private e frasi di ripristino (seed phrase). L’ignara vittima perderà così tutte le criptovalute.
FakeWallet: app fasulle che rubano criptovalute
La nuova campagna è stata denominata FakeWallet. In Cina non sono disponibili le app iOS per i wallet, quindi i cybercriminali cercano di ingannare le ignare vittime con app che sembrano ufficiali (vengono usate icone e nomi simili). Durante l’indagine, i ricercatori di Kaspersky hanno trovato 26 app fasulle per MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken e Bitpie.
Nelle descrizioni sono elencate funzionalità inesistenti (ad esempio calcolatrice, giochi o task planner), probabilmente per aggirare i controlli di Apple. All’avvio viene aperta una pagina web che invita l’utente a scaricare la presunta app ufficiale per gestire le criptovalute.
Dato che iOS non supporta il sideloading, i cybercriminali hanno sfruttato i profili di provisioning, un metodo offerto alle aziende per creare e distribuire app interne senza passare dallo store. La stessa tecnica è stata utilizzata in altre campagne malware, tra cui SparkKitty. L’installazione del profilo porta all’installazione dell’app infetta.
Le app fasulle prendono di mira sia gli hot wallet che i cold wallet. Nel primo caso, le chiavi private sono memorizzate sul dispositivo, quindi è sufficiente intercettare la creazione o l’inserimento della seed phrase per prendere il controllo del wallet e rubare le criptovalute.
Nel secondo caso, le chiavi private sono conservate su un dispositivo hardware non connesso ad Internet, ma associato via Bluetooth allo smartphone sul quale è installata l’app. I cybercriminali chiedono quindi di inserire la seed phrase nell’app fasulla, una funzionalità inesistente nell’app legittima in quanto la frase di ripristino si trova sul dispositivo hardware.
Gli utenti non devono installare app iOS da fonti esterne allo store ufficiale. Kaspersky ha inviato una segnalazione ad Apple e le app infette sono state quasi tutte rimosse. Non ci sono restrizioni geografiche, quindi la campagna FakeWallet potrebbe estendersi ad altri paesi.
Ti potrebbe interessare
21 apr 2026