Rilevata backdoor di furto di criptovalute nella piattaforma Snap Store per utenti Linux
- I cybercriminali stanno sfruttando domini di sviluppatori scaduti per dirottare account fidati del Snap Store e distribuire malware per il furto di criptovalute.
- App portafoglio false che impersonano Exodus, Ledger Live e Trust Wallet chiedono agli utenti le frasi di recupero, portando alla perdita totale dei fondi.
- Almeno due account publisher del Snap Store sono stati confermati compromessi.
Gli utenti Linux affrontano una nuova minaccia poiché i criminali informatici sfruttano una vulnerabilità critica in Snap Store di Canonical, dirottando account di sviluppatori fidati per distribuire malware che ruba criptovalute mascherato da applicazioni wallet legittime.
23pds, chief information security officer di SlowMist, che ha l'handle X @im23pds, ha avvertito che gli attaccanti stanno monitorando account di sviluppatori i cui nomi di dominio associati sono scaduti.
Come funziona l'attacco a Snap Store?
23pds ha scritto, “Attenzione utenti Linux: un nuovo tipo di attacco è in corso su Snap Store — i domini scaduti sono stati presi di mira dagli hacker e trasformati in backdoor per rubare le criptovalute degli utenti.”
Le applicazioni modificate sono mascherate da noti wallet crypto come Exodus, Ledger Live o Trust Wallet, ingannando gli utenti affinché inseriscano la loro ‘frase di recupero del wallet’, risultando nel furto completo dei fondi.”
Una volta che un dominio target scade e diventa disponibile per la registrazione, gli attaccanti lo acquistano immediatamente, quindi utilizzano l'indirizzo email collegato a quel dominio per attivare il reset della password su Snap Store. Questo concede loro il controllo completo su identità di publisher di lunga data e fidate senza suscitare sospetti immediati.
Almeno due account di sviluppatori sono stati confermati compromessi utilizzando questo metodo, con i domini storewise.tech e vagueentertainment.com caduti nelle mani degli attaccanti.
Gli attori malevoli, che si ritiene siano basati in Croazia secondo Alan Pope, ex sviluppatore di Canonical e contributore di Ubuntu, stanno conducendo campagne contro gli utenti di Snap Store da circa due anni.
Il takeover del dominio è l'evoluzione più recente e preoccupante dell'azione di questi cattivi attori, poiché ora significa che “il software legittimo installato e fidato dagli utenti per anni potrebbe avere codice malevolo iniettato dagli hacker attraverso i canali di aggiornamento ufficiali nel giro di una notte.”
Secondo 23pds, “Le applicazioni modificate sono solitamente mascherate da noti wallet crypto come Exodus, Ledger Live o Trust Wallet, con interfacce quasi indistinguibili dalle versioni genuine.”
Ha dichiarato: “Dopo l'avvio dell'app, si connette prima a un server remoto per verificare la rete, quindi chiede immediatamente all'utente di inserire la propria ‘frase mnemonica di recupero del wallet’. Una volta che l'utente la invia, questi dettagli sensibili vengono istantaneamente trasmessi al server dell'attaccante, risultando nel furto dei fondi.”
Le vittime spesso scoprono che i loro fondi sono stati rubati prima di notare che qualcosa non va, poiché l'attacco sfrutta relazioni di fiducia di lunga data.
Cosa stanno facendo le principali piattaforme per limitare gli attacchi di resurrezione dei domini?
GitHub, PyPI e npm hanno tutti subito attacchi simili di resurrezione dei domini. Uno studio accademico del 2022 ha identificato oltre 2.800 account di sviluppatori npm configurati con indirizzi email i cui domini erano successivamente scaduti, evidenziando la scala della potenziale vulnerabilità.
Nel giugno 2025, il team di sicurezza di Python ha rimosso più di 1.800 indirizzi email scaduti dagli account di sviluppatori, costringendo gli sviluppatori a ri-verificare le proprie credenziali con domini attivi al prossimo accesso.
Il problema deriva da ciò che gli esperti di sicurezza chiamano internet rot o link rot, dove gli sviluppatori che cambiano lavoro o provider di email non aggiornano le informazioni dell'account su tutte le piattaforme, creando falle di sicurezza sfruttabili.
Pope ha dichiarato che Canonical deve affrontare il problema implementando salvaguardie, che potrebbero includere il monitoraggio della scadenza dei domini sugli account di publisher, il requisito di verifica aggiuntiva per account inattivi, l'implementazione dell'autenticazione a due fattori obbligatoria o altre misure.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
