Le False App di Ledger Live Stanno Rubando le Criptovalute

I cybercriminali stanno utilizzando false app Ledger Live e allarmi di phishing per rubare le frasi di seed, lanciando malware che svuota silenziosamente i portafogli crittografici attraverso le piattaforme.

I cybercriminali stanno utilizzando versioni false di Ledger Live — l’app utilizzata per gestire la criptovaluta sui portafogli Ledger — per rubare le frasi di seed e svuotare i fondi degli utenti. Moonlock Lab ha rivelato che dal mese di agosto 2024, almeno quattro campagne attive di malware hanno preso di mira Ledger Live con attacchi di phishing.

Inizialmente, le applicazioni false potevano rubare solo note e dati del portafoglio. Ma oggi, ingannano gli utenti a rivelare la loro frase segreta di 24 parole. Una tattica, vista nel Atomic macOS Stealer (AMOS), prevede un falso avviso di sicurezza che chiede agli utenti di “verificare” la loro frase segreta. Una volta digitata, viene inviata direttamente agli hacker.

Il cambiamento è iniziato con il malware “Odyssey” di un hacker di nome Rodrigo. Secondo Moonlock, da marzo 2025, Odyssey ha eluso le difese di Ledger Live con una pagina di phishing che spinge gli utenti a inserire la loro frase segreta per risolvere un “errore critico.”

Il metodo di Rodrigo ha innescato una reazione a catena. Un altro hacker, @mentalpositive, ha affermato che il loro malware include ora un modulo “anti-Ledger”. Tuttavia, due campioni del loro codice non mostravano grandi cambiamenti: solo un nuovo indirizzo del server e un cambio di nome da “JENYA” a “SHELLS”.

Nel frattempo, una nuova campagna scoperta da Jamf Threat Labs coinvolgeva un installer Mac non rilevabile che carica una falsa interfaccia di Ledger Live. Il ladro prende silenziosamente password, file e dati del portafoglio utilizzando una combinazione di Python e AppleScript.

AMOS ha adottato anche lo schema di phishing di Rodrigo. Le vittime vengono ingannate per lanciare un file terminale che elude i controlli di sicurezza di Apple, permettendo al malware di funzionare. Se rileva un sistema reale, non virtuale, invia file rubati e credenziali – tra cui i dati di Binance e TonKeeper – a un server remoto.

Con sempre più hacker che copiano questo approccio, si consiglia agli utenti di criptovalute di evitare di inserire frasi di seed nelle app o nei pop-up.