Google TAG: il kit di exploit per iPhone 'Coruna' ruba le frasi seed BIP39 dai wallet mobili
Il Threat Analysis Group (TAG) e il Threat Intelligence Group (GTIG) di Google hanno identificato “Coruna”, un sofisticato kit di exploit per iOS ora utilizzato per rubare le seed phrase BIP39 e altri dati dei wallet dagli iPhone. Coruna include 23 vulnerabilità in iOS 13.0–17.2.1, comprese zero‑day, ed è stato osservato per la prima volta a febbraio 2025. Il framework fingerprinta i dispositivi dei visitatori su siti compromessi di gioco e falsi exchange (attacchi watering‑hole) e distribuisce catene di exploit JavaScript su misura (RCE di WebKit) che bypassano le mitigazioni per ottenere accesso a livello di sistema. Una volta dispiegato, il kit scansiona le app e gli artefatti dei wallet (MetaMask, BitKeep, app correlate a Uniswap/DEX, QR code in cache, note, screenshot) ed esfiltra le seed phrase da 12–24 parole verso server di comando e controllo cifrati. Google attribuisce l’ondata finanziariamente motivata corrente a UNC6691, che sembra aver acquisito il kit dopo un precedente uso presumibilmente statale (UNC6353). Apple ha corretto le falle sfruttate in iOS 17.3 e versioni successive; TAG invita ad aggiornare immediatamente o ad abilitare la Lockdown Mode per i dispositivi che non possono aggiornare. Per i trader, l’attacco rappresenta un rischio acuto per i wallet hot mobili e gli utenti retail: le mitigazioni raccomandate includono aggiornare a iOS 17.3+, abilitare la Lockdown Mode se non è possibile aggiornare, rimuovere le seed phrase da note/screenshot e spostare fondi significativi su hardware wallet che richiedono conferma fisica. Il rapporto evidenzia una tendenza: gli zero‑day di alto profilo una volta usati per spionaggio vengono commoditizzati per furti di crypto su larga scala, aumentando il rischio di phishing/compromissione dei dispositivi e la potenziale pressione di vendita a breve termine se lo sfruttamento diventasse diffuso.
Bearish
Coruna aumenta il rischio diretto per i detentori di criptovalute che utilizzano wallet mobili hot abilitando il furto delle frasi seed tramite attacchi drive-by di tipo watering‑hole. Nel breve termine ciò aumenta la probabilità di vendite intraday o rapide da parte degli utenti retail colpiti che perdono l'accesso ai fondi o cercano di spostare gli asset in custodie più sicure, creando una pressione ribassista localizzata sui token liquidi comunemente conservati nei wallet mobili (token ERC‑20, principali altcoin). L'impatto immediato sul mercato è probabile che sia concentrato e transitorio: gli utenti sfruttati venderanno o cercheranno di ritirare i fondi, ma i grandi detentori istituzionali sono meno colpiti. A medio-lungo termine, uno sfruttamento diffuso potrebbe erodere la fiducia dei retail nelle soluzioni di custody mobile, aumentando la domanda di hardware wallet e servizi di custodia e possibilmente riducendo i flussi speculativi verso token a bassa capitalizzazione. Tuttavia, le patch in iOS 17.3+ e chiare misure di mitigazione (aggiornamenti, Lockdown Mode, hardware wallet) riducono il rischio di un calo persistente del mercato. Complessivamente, la notizia è ribassista per l'azione di prezzo a breve termine tra gli asset più detenuti in wallet mobili vulnerabili, mentre gli effetti a lungo termine dipendono dall'adozione di pratiche di custodia più solide.