Come proteggere un portafoglio crypto su iPhone da malware ed exploit via web

Gli utenti iPhone con versioni di iOS non aggiornate possono trovarsi esposti a rischi per la sicurezza, dopo che i ricercatori hanno collegato pacchetti di siti web contaminati a una catena di exploit per iOS in grado di accedere ai dati protetti del telefono e ai segreti del portafoglio.

Socket, una piattaforma di cybersecurity, ha reso pubblico la campagna dopo aver individuato 13 temi malevoli su Packagist, il repository pubblico per i pacchetti PHP. I pacchetti infettavano i siti web anziché i telefoni, trattandosi quindi di un attacco alla supply chain: gli operatori dei siti che si fidavano dei temi hanno involontariamente distribuito codice ostile ai propri visitatori. Di conseguenza, evitare app portafoglio false non era sufficiente a proteggere un iPhone vulnerabile da una pagina Safari compromessa, poiché l'attacco arrivava tramite la normale navigazione web.

A cosa servono i pacchetti malevoli su Packagist?

I pacchetti si presentavano come temi per OphimCMS e KKPhim, che supportano siti di streaming vietnamiti. Comparivano sotto cinque publisher: vsmov, vsphim, haiau009, chilltvcms e ophimcms.

Dopo l'installazione di un tema contaminato da parte di un operatore, sulle pagine del sito compariva JavaScript ostile. I visitatori da mobile potevano ricevere redirect verso siti di gioco d'azzardo o pubblicità iniettate. La ramifica per iPhone verificava inoltre la versione di iOS e caricava l'exploit corrispondente.

L'indagine di Socket ha individuato due punti di ingresso in WebKit. CVE-2025-31277 prendeva di mira iOS 18.4 e 18.5, mentre CVE-2025-43529 riguardava iOS 18.6. WebKit è il motore di rendering che Safari e le altre app di navigazione iOS sono tenute a utilizzare, quindi le sue vulnerabilità possono riguardare qualsiasi iPhone che carichi una pagina compromessa.

Le fasi successive evadevano dal processo protetto di WebKit e raggiungevano il kernel di iOS. Il kernel si trova al centro del sistema operativo, quindi tale accesso consentiva al payload di leggere dati normalmente preclusi a un sito web.

I ricercatori hanno trovato codice per i modelli da iPhone XS a iPhone 16 con iOS dalla versione 18.4 alla 18.6.x. La versione analizzata non supportava iOS 18.7 né iOS 26.

Lo spyware poteva raccogliere registri del Portachiavi, messaggi, contatti, foto, cookie del browser, password Wi-Fi, cronologia delle posizioni e database degli account. Il Portachiavi è l'archivio cifrato di Apple per password e altri segreti sul dispositivo. Un aggiornamento di agosto cercava inoltre materiale di portafoglio legato a Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet e OKX.

Perché i rapporti più recenti indicano portafogli crypto diversi?

Un rapporto più recente di SlowMist ha esaminato un'infrastruttura WYINCC separata. Il suo campione prendeva di mira Safari su iOS dalla 18.4 alla 18.6.2, e il suo codice era concentrato su imToken, TokenPocket e TronLink.

Quel payload poteva esaminare i file delle app, leggere voci decifrate del Portachiavi e monitorare l'input della tastiera mentre era aperto un portafoglio bersaglio. SlowMist ha recuperato le funzioni ma non le ha eseguite sul telefono di una vittima.

Pertanto, i due elenchi di portafogli devono restare distinti. Socket ha studiato temi malevoli su Packagist, mentre SlowMist ha analizzato un altro sistema di distribuzione. Entrambi mostrano legami con la famiglia di exploit DarkSword, il che suggerisce che gli attaccanti riutilizzino strumenti di exploit su canali di distribuzione diversi.

Il Threat Intelligence Group di Google monitora DarkSword da novembre 2025. Google ha trovato diverse varianti che supportano iOS dalla 18.4 alla 18.7, a indicare uno sviluppo continuo rispetto alle versioni analizzate da Socket. Apple ha rilasciato patch che risolvono la catena di exploit nelle versioni successive di iOS.

Come possono gli utenti fermare il malware che ruba portafogli?

Installare l'ultimo aggiornamento di iOS chiude la via nota. Al 4 settembre 2026, Apple indica iOS 26.6.1 come versione corrente. Offre inoltre iOS 18.7.10 per iPhone XS, XS Max e XR.

Gli utenti possono aprire Impostazioni, selezionare Generali e toccare Aggiornamento software. Devono installare la versione più recente proposta per il proprio dispositivo. Anche download e installazioni automatici dovrebbero essere attivati.

Chi usa iOS 26.1 o successivo può attivare i Miglioramenti della sicurezza in background in Impostazioni e Privacy e sicurezza. Questa opzione fornisce alcune protezioni WebKit e di sistema tra un aggiornamento completo e l'altro.

Le patch costituiscono la difesa principale, mentre una navigazione attenta riduce ulteriormente il rischio. Gli utenti dovrebbero abbandonare i siti che generano pagine di gioco d'azzardo o redirect ripetuti. Google ha aggiunto i domini DarkSword noti a Safe Browsing, ma gli attaccanti possono ruotare l'infrastruttura, quindi i soli avvisi del browser non sono una salvaguardia completa.

Le frasi di recupero richiedono una protezione separata. Non dovrebbero essere conservate in Foto, Note, email, chat o file cloud non protetti. I ricercatori hanno scoperto che il malware poteva raccogliere diverse di queste fonti di dati.

Un backup offline limita tale esposizione. I grandi possessori possono inoltre usare un hardware wallet senza importarne la seed phrase nell'iPhone, mantenendo le chiavi su un dispositivo isolato dal malware del telefono. Ogni indirizzo e transazione dovrebbe comunque essere verificato sul dispositivo hardware.

Cosa devono fare gli utenti dopo una possibile esposizione?

Gli utenti dovrebbero innanzitutto verificare quale versione di iOS era attiva quando la pagina è stata aperta. Un semplice redirect sospetto non conferma l'infezione. SlowMist ha inoltre sconsigliato di dichiarare una seed phrase rubata basandosi solo sui registri di accesso.

L'iPhone dovrebbe comunque essere aggiornato immediatamente. Se compaiono trasferimenti non autorizzati o una revisione di sicurezza conferma l'esposizione, il proprietario dovrebbe creare un nuovo portafoglio crypto su un dispositivo pulito. La sua frase di recupero deve essere nuova.

Il proprietario potrà poi trasferire gli asset rimanenti ai nuovi indirizzi dopo aver verificato rete e destinazione. Importare la vecchia frase di recupero in un'altra app manterrebbe il rischio invariato.

Gli utenti dovrebbero revocare le connessioni wallet sconosciute e controllare le sessioni attive. Le password di Apple Account, email, exchange e servizi finanziari potrebbero dover essere sostituite da un dispositivo affidabile se si sospetta un furto di dati più ampio. Apple consiglia inoltre di rimuovere dall'account i dispositivi non riconosciuti.

Prima di cancellare un dispositivo di alto valore, il proprietario potrebbe aver bisogno di una forensica mobile professionale, poiché un reset può distruggere le prove. SlowMist raccomanda di conservare i dati forensi dai dispositivi esposti. Vanno salvati anche hash di transazione, indirizzi di portafoglio, date, screenshot e avvisi.

Le vittime devono diffidare di chiunque prometta il recupero dei fondi dietro pagamento anticipato, una truffa di follow-up comune che prende di mira chi rende pubbliche le proprie perdite. Il supporto legittimo di un portafoglio non chiederebbe mai una seed phrase o una chiave privata. Software aggiornato, conservazione offline della seed e azione rapida restano le difese più forti contro il malware che ruba portafogli.