Una variante di malware nota come Relay starebbe utilizzando una finta applicazione per riunioni basata sull'intelligenza artificiale per colpire i portafogli di criptovalute dei candidati a posizioni Web3, secondo un rapporto di threat intelligence di SlowMist. SlowMist è una società di sicurezza blockchain che pubblica regolarmente analisi di campagne di phishing e svuotamento di portafogli che colpiscono l'ecosistema cripto.

I ricercatori di sicurezza descrivono Relay come uno strumento di furto di informazioni distribuito attraverso quello che sembra essere un software per colloqui presentato ai candidati in cerca di lavoro. La campagna prende di mira specificamente le persone in cerca di ruoli nel settore Web3.

Ingegneria Sociale al Centro dell'Attacco

L'attacco si basa principalmente sull'ingegneria sociale piuttosto che su uno sfruttamento tecnico. Camuffando il malware come strumento per riunioni o colloqui che il candidato deve installare, gli attaccanti sfruttano la fiducia insita in un normale flusso di assunzione. L'obiettivo finale è ottenere l'accesso ai portafogli cripto di coloro che scaricano l'applicazione.

La finta app per riunioni AI funge da punto di ingresso per l'intera catena di attacco. Nel contesto delle assunzioni Web3, ai candidati viene frequentemente chiesto di scaricare software per colloqui o riunioni — una richiesta routinaria che rende difficile mettere in discussione tale istruzione. La rapida diffusione di legittimi strumenti AI per riunioni e trascrizioni negli ultimi anni aumenta ulteriormente la plausibilità di tale richiesta, poiché organizzazioni di tutti i settori hanno adottato nuove piattaforme di videoconferenza e assistenza basata sull'intelligenza artificiale.

Poiché i bersagli sono candidati in cerca di lavoro, il malware viene incorporato all'interno di una sequenza di reclutamento anziché arrivare come link non richiesto. Simili esche a tema reclutamento rivolte agli sviluppatori Web3 sono state documentate da giornalisti di sicurezza che seguono campagne di falsi recruiter mirate al settore. L'ingegneria sociale basata sul reclutamento è stata segnalata anche nel più ampio settore tecnologico, dove finti processi di colloquio sono stati utilizzati per distribuire malware agli ingegneri software. Questa cornice conferisce al download un livello di legittimità che i tentativi di phishing convenzionali tipicamente non possiedono.

Da quel momento, l'obiettivo segnalato è il portafoglio cripto del candidato. Gli specifici passaggi esecutivi e i meccanismi di svuotamento del portafoglio non sono dettagliati nella ricerca SlowMist disponibile, e pertanto non vengono qui riportati come fatto confermato.

Implicazioni per le Assunzioni Web3 e la Sicurezza dei Portafogli

I candidati a posizioni Web3 rappresentano un gruppo target particolarmente allettante perché molti possiedono già criptovalute e interagiscono regolarmente con i portafogli come parte delle loro attività professionali. Questa sovrapposizione tra il bacino di candidati e gli utenti attivi di portafogli li rende molto attraenti per gli attaccanti.

Gli attacchi mirati ai portafogli comportano conseguenze più gravi rispetto al phishing convenzionale di credenziali. Una volta compromesso l'accesso al portafoglio, le risorse digitali possono essere trasferite direttamente — un pattern di rischio riscontrato anche in casi come la causa legale su una finta app per portafogli iPhone legata a un presunto furto di Bitcoin. A differenza delle transazioni bancarie tradizionali, molti trasferimenti di criptovalute non possono essere annullati, il che significa che le compromissioni riuscite dei portafogli spesso si traducono in perdita permanente dei fondi.

La combinazione di finti strumenti AI e linguaggio orientato al reclutamento indica che gli attaccanti stanno adattando le loro esche alle attuali tendenze tecnologiche e di assunzione. Sia per i candidati che per i team di assunzione operanti nel settore cripto, il consiglio pratico è di prestare attenzione quando viene chiesto di installare qualsiasi software per colloqui da parte di un recruiter non verificato. La verifica del software attraverso siti web ufficiali, l'utilizzo di dispositivi separati per le operazioni sensibili sui portafogli e la conferma dell'identità dei recruiter attraverso canali aziendali stabiliti sono tra le misure precauzionali standard raccomandate dagli esperti di sicurezza.