Un progetto pubblico di sandbox escape per iOS chiamato worse_query ha rinnovato i dubbi sulla sicurezza della conservazione delle credenziali crypto sugli iPhone. La sua pagina GitHub descrive un sandbox escape che interessa iOS 26.0–26.7.2 e iOS 27.2, ma etichetta il codice come un proof of concept per sviluppatori, non utile di per sé. Non è una prova di una campagna attiva di svuotamento dei wallet.

Il progetto arriva tuttavia nel mezzo di una serie di indagini sulla sicurezza pubblicate nel 2026 che hanno esposto app wallet false, furto di frasi di recupero e exploit iOS sofisticati. Insieme, questi casi indicano un rischio centrale: gli attaccanti possono prendere di mira le informazioni e i dispositivi che controllano le crypto, anziché la blockchain stessa. Dieci lezioni si distinguono.

1. Separare i Proof of Concept dagli Attacchi Confermati

Su GitHub, worse_query descrive un sandbox escape per iOS 26.0 fino a 26.7.2 e iOS 27.2. Un sandbox escape porta il codice fuori dall'ambiente isolato che iOS utilizza per mantenere le app separate dai dati delle altre e dalle risorse di sistema. L'autore afferma che il codice è destinato agli sviluppatori, non è utile di per sé e non è un jailbreak. La pubblicazione, pertanto, non dimostra che i criminali lo stiano usando per rubare le credenziali dei wallet. Trattare tale codice come un motivo per seguire gli avvisi di sicurezza, non per panificare o installare strumenti di exploit. Mantenere l'iPhone aggiornato ed evitare utility per sviluppatori non fidate.

2. Installare Tempestivamente gli Aggiornamenti di Sicurezza

L'avviso di Apple del 28 settembre 2026 per iOS 26.7.1 ha affrontato una vulnerabilità di CoreGraphics che avrebbe potuto consentire l'esecuzione di codice arbitrario — codice scelto dall'attaccante in esecuzione sul dispositivo — durante l'elaborazione di un file dannoso. Apple ha dichiarato di essere a conoscenza di una segnalazione secondo cui il problema potrebbe essere stato sfruttato contro specifici individui bersaglio prima di iOS 27, ma non ha identificato una campagna crypto o un furto di wallet. Detto questo, un telefono compromesso può esporre app wallet, email e codici di autenticazione. Installare l'ultima versione di iOS disponibile per il dispositivo, attivare gli aggiornamenti automatici ed evitare file o link inattesi.

3. Tenere le Frasi di Recupero Lontane dalle Foto

Il rapporto di Kaspersky di aprile 2026 su SparkCat ha rilevato una variante nascosta in app dall'aspetto legittimo, la cui versione iOS scansiona le gallerie fotografiche alla ricerca di frasi mnemoniche di wallet in lingua inglese. I ricercatori hanno trovato due app infette nell'App Store di Apple e una in Google Play; il codice dannoso è stato successivamente rimosso.

Una frase di recupero è la chiave principale di un wallet: chiunque la ottenga può ripristinare il wallet su un altro dispositivo e spenderne i fondi. Non fotografare, non acquisire screenshot e non conservare mai le parole di recupero in foto, gallerie cloud o allegati di messaggi. Se una frase potrebbe essere stata accessibile a un'app non fidata, va considerata esposta: creare un nuovo wallet in un ambiente affidabile e trasferire i fondi.

4. Verificare l'Editore di Ogni App Wallet

Kaspersky ha identificato 26 applicazioni fraudolente nell'App Store che impersonavano MetaMask, Ledger, Trust Wallet, Coinbase e altri wallet. Le loro icone e i loro nomi copiavano prodotti legittimi, e alcune offrivano inizialmente funzioni non correlate come calcolatrici o giochi. La campagna è apparsa principalmente nell'App Store cinese, dove alcuni wallet ufficiali non erano disponibili.

Una presenza nell'App Store non è prova di autenticità. Visitare in autonomia il sito ufficiale del fornitore del wallet e seguire il suo link diretto allo store. Controllare il nome dello sviluppatore e l'ortografia prima di scaricare, e non affidarsi mai alla posizione nei risultati di ricerca o a un logo familiare.

5. Rifiutare Profili Sconosciuti e Richieste di Frasi Seed

Il rapporto tecnico di Kaspersky su FakeWallet spiega come annunci contraffatti reindirizzavano gli utenti verso pagine imitazioni dell'App Store e li spingevano a installare profili sviluppatore. Quei profili permettevano l'installazione di app wallet trojanizzate al di fuori del normale processo dello store, e il malware poteva intercettare le schermate di recupero e creazione del wallet per catturare le frasi di recupero degli utenti, potenzialmente dando agli attaccanti accesso ai loro fondi. Tali profili sono il meccanismo di Apple per installare app al di fuori dell'App Store, destinato allo sviluppo di app e alla distribuzione aziendale piuttosto che alle installazioni dei consumatori. I due rapporti di Kaspersky descrivono la stessa campagna più ampia da angolazioni diverse, non due episodi scollegati.

Non installare mai un profilo o un certificato aziendale per ottenere un wallet, e rifiutare qualsiasi "controllo di sicurezza" che chieda una frase di recupero.

6. Tenere i Dati Sensibili Lontani da Note e Immagini QR

L'indagine di Google di marzo 2026 su Coruna ha identificato cinque catene di exploit per iOS contenenti 23 exploit. Il suo payload finanziario poteva decodificare codici QR nelle immagini e cercare in Apple Memo sequenze di parole BIP39 — il formato standardizzato di elenco di parole che la maggior parte dei wallet utilizza per codificare le frasi di recupero — o frasi come "backup phrase". Prendeva di mira anche informazioni di numerose app wallet crypto.

Non conservare frasi seed, chiavi private o codici QR di backup in Note o cartelle di immagini; tenere il materiale di recupero offline in un luogo fisico sicuro. Google ha dichiarato che Coruna non funzionava contro l'ultima versione di iOS e ha consigliato di aggiornare, o di attivare la Modalità di blocco se l'aggiornamento non era possibile.

7. Proteggere l'Intero Telefono, Non Solo il Wallet

Il rapporto di Google del 18 marzo su DarkSword ha descritto una catena di exploit per iOS che utilizzava sei vulnerabilità contro dispositivi con iOS 18.4–18.7. Il malware poteva raccogliere dati di wallet criptovalute, messaggi, contatti, foto, file e cronologia di navigazione, e Google ha identificato campagne mirate a utenti in Arabia Saudita, Turchia, Malesia e Ucraina. Secondo Google, le vulnerabilità sono state corrette con iOS 26.3, con la maggior parte risolta in precedenza.

Un telefono compromesso può esporre più di un wallet. Aggiornare iOS, evitare siti sospetti e valutare la Modalità di blocco — l'impostazione facoltativa di massima sicurezza di Apple progettata per le persone esposte ad attacchi mirati — quando i rischi di attacco mirato sono elevati.

8. Non Trattare un Vecchio iPhone Come Cold Storage

Il fondatore di OneKey, Yishi Wang, ha messo in guardia dal conservare le frasi di recupero su iPhone più datati, anche quando i dispositivi vengono cancellati o disconnessi. Un rapporto del 1° novembre ha discusso vulnerabilità a livello hardware che interessano i modelli più vecchi, notando tuttavia che lo sfruttamento richiede accesso fisico e attrezzature specializzate, e che queste vulnerabilità non rivelano automaticamente ogni frase seed memorizzata.

La modalità aereo non trasforma un telefono in un hardware wallet. Evitare di usare un vecchio iPhone come unica cassaforte per le parole di recupero. Se una seed potrebbe essere esposta, generarne una nuova in un ambiente affidabile e spostare gli asset.

9. Verificare le Transazioni su uno Schermo Hardware Separato

Un rapporto di luglio 2026 ha citato il chief commercial officer di Trezor che difendeva gli hardware wallet come una solida opzione di auto-custodia per la maggior parte degli utenti. Ha indicato lo schermo separato, che consente agli utenti di controllare i dettagli della transazione prima della firma, osservando però che i detentori di importi elevati potrebbero aver bisogno di disposizioni a più livelli.

Gli hardware wallet non sono invulnerabili. Acquistarli tramite canali affidabili, verificare l'indirizzo completo e l'importo sullo schermo del dispositivo, proteggere il backup di recupero e mantenere il firmware aggiornato. Separare, ove possibile, le holdings a lungo termine dalla spesa quotidiana.

10. Controllare l'Indirizzo Completo Prima di Inviare Fondi

L'indagine di Microsoft di giugno 2026 ha esaminato un crypto clipper basato su Windows che monitorava i dati degli appunti, rubava frasi seed e chiavi private e sostituiva gli indirizzi wallet copiati. Si diffondeva anche tramite scorciatoie USB infette e utilizzava Tor per il comando e controllo. La campagna non era malware per iPhone, ma espone un rischio di trasferimento che attraversa i dispositivi connessi.

Prima di inviare, confrontare l'indirizzo di destinazione completo con i dettagli affidabili del destinatario e non basarsi solo sui primi e ultimi caratteri. Per trasferimenti di grandi dimensioni, inviare prima un piccolo importo di prova e confermarne la ricezione.

I Fili Comuni

Nei vari casi, tre debolezze si ripetono: frasi di recupero esposte, download ingannevoli e transazioni non verificate. La sicurezza dell'iPhone richiede più di una password per le app. Mantenere il software aggiornato, verificare le fonti dei wallet, conservare i backup offline e confermare le transazioni su uno schermo affidabile. Poiché l'auto-custodia non offre un servizio di assistenza per annullare un trasferimento errato o rigenerare una frase perduta, queste abitudini sono di fatto la sicurezza dell'account. Nessuna singola impostazione o dispositivo sostituisce queste abitudini.

Domande Frequenti

Il progetto worse_query è prova di una campagna attiva di furto di wallet?

No. La sua documentazione GitHub lo descrive come un proof of concept per sviluppatori non utile di per sé, e la sua pubblicazione non dimostra una campagna attiva di furto di wallet.

Le app iOS possono davvero scansionare le librerie fotografiche alla ricerca di frasi di recupero?

Sì. Kaspersky ha identificato una variante di SparkCat che scansiona le gallerie fotografiche alla ricerca di frasi mnemoniche di wallet. Evitare di salvare frasi seed in screenshot, fotografie o immagini sincronizzate sul cloud.

Le app wallet dell'App Store sono sempre genuine?

No. Kaspersky ha identificato 26 annunci fraudolenti che impersonavano marchi di wallet affermati. Verificare l'editore tramite il sito ufficiale del fornitore del wallet prima di installare un'app.

Un vecchio iPhone disconnesso è sicuro per conservare le frasi seed?

No. Disconnettere un dispositivo non elimina le vulnerabilità hardware o i rischi di accesso fisico. Un vecchio telefono non dovrebbe essere l'unico luogo in cui conservare le credenziali di recupero.

Cosa devo fare se la mia frase di recupero potrebbe essere stata esposta?

Considerare la frase compromessa. Creare un nuovo wallet con una nuova frase di recupero in un ambiente affidabile, poi trasferire i fondi ai suoi indirizzi. Non riutilizzare mai la frase esposta.