Una truffa di phishing su Trezor promossa tramite un annuncio sponsorizzato di Google ha prosciugato i risparmi di una vita di un utente, secondo quanto afferma la stessa vittima. Nel frattempo, BTCPay Server ha rilasciato una patch d’emergenza per correggere una vulnerabilità critica già sfruttata attivamente.
I due episodi si sono verificati a distanza di circa 24 ore l’uno dall’altro. Nessuno dei due ha riguardato direttamente il protocollo di Bitcoin (BTC), ma entrambi hanno messo a rischio diretto i fondi degli utenti.
Annuncio Google indirizza le vittime su un sito di phishing di Trezor
La vittima, che si è identificata su X (ex Twitter) con il nome David, ha attribuito la colpa a un annuncio sponsorizzato visualizzato giovedì. Secondo quanto riportato, l’annuncio posizionava una pagina Trezor contraffatta, ospitata su Google Sites, al di sopra del sito reale del produttore del wallet.
Chiunque inserisse la recovery seed nella pagina dava agli attaccanti il pieno controllo del proprio wallet.
I dati on-chain mostrano che il wallet segnalato nel report ha ricevuto 24,04 BTC tramite 80 transazioni. Questo bottino equivale a circa 1,6 milioni di dollari al prezzo attuale di Bitcoin, vicino a 65.172 dollari. Tuttavia, quasi tutto è già stato trasferito, lasciando solo circa 0,04 BTC sul wallet.
Trezor ha affermato di aver avviato delle indagini interne e di aver segnalato la pagina per la rimozione.
“A chiunque stia leggendo: verificate sempre di utilizzare il sito ufficiale di Trezor e non inserite mai il backup del vostro wallet su un sito web o modulo,” ha raccomandato il team.
L’hardware in sé non è mai stato violato. L’attacco è riuscito perché la seed è uscita dal dispositivo. Questa dinamica ricorda quella di un falso sito di phishing di Uniswap che a maggio ha svuotato wallet per 400.000 dollari.
BTCPay Server rilascia rapidamente una patch per una vulnerabilità sfruttata
Nel frattempo, BTCPay Server, il software open source che consente ai commercianti di accettare pagamenti in bitcoin direttamente, ha diffuso un avviso ai suoi utenti venerdì.
Seguici su X per ricevere le ultime notizie in tempo reale
Il team ha invitato gli operatori ad aggiornare immediatamente alla versione 2.4.2 oppure a spegnere il server finché non sarà possibile aggiornare.
“Questo rilascio contiene la correzione di una vulnerabilità critica che viene sfruttata attivamente. Dovete aggiornare il prima possibile,” riporta la nota del rilascio del progetto.
La Bitcoin Red Team, un gruppo volontario di ricerca in materia di sicurezza, ha segnalato il problema agli sviluppatori.
Tuttavia, la sola patch non basta per completare la bonifica. Gli operatori devono anche rigenerare le macaroons, ovvero le credenziali di accesso di cui i nodi Lightning si servono, e aggiornare le stringhe di autenticazione per gli altri backend.
Chiunque abbia generato un hot wallet all’interno di BTCPay deve spostare i fondi su un nuovo wallet e ricrearlo. Anche gli integratori devono aggiornare NBXplorer, l’utility di indicizzazione associata, alla versione 2.6.10.
Perché questi due casi sono importanti per la self-custody con Bitcoin
Un attacco ha sfruttato la fiducia negli annunci di ricerca, l’altro invece il codice in esecuzione sui server dei commercianti. Entrambi hanno aggirato il modello di sicurezza di Bitcoin colpendo invece il software e le abitudini degli utenti.
Il phishing resta la minaccia più costosa nel mondo crypto. Le perdite dovute a furti crypto a gennaio hanno raggiunto circa 400,3 milioni di dollari, e oltre il 70% di questo ammontare è stato causato da un singolo attacco di phishing.
Google deve ancora spiegare come l’annuncio fraudolento abbia superato i controlli. La velocità con cui la pagina verrà rimossa, e la rapidità con cui gli operatori BTCPay installeranno la patch, determineranno l’entità dei danni.
