Hijacker degli appunti: il malware che sostituisce l'indirizzo che hai incollato

Nessuno digita a mano un indirizzo crypto. Lo copi da un exchange, da una fattura o da un messaggio, lo incolli nel tuo wallet e premi invia. Proprio attorno a questa abitudine è stata costruita un'intera famiglia di malware.

Un hijacker degli appunti – spesso chiamato «clipper» – si annida silenziosamente su un computer o un telefono infetto, osserva ciò che copi e, non appena vede qualcosa che somiglia a un indirizzo crypto, lo sostituisce con uno che appartiene all'attaccante. Incolli, invii, e i fondi finiscono in un posto che non avevi mai previsto.

Come funziona un clipper

L'accesso agli appunti è una funzione normale. Molte app legittime leggono gli appunti, quindi un programma che lo fa non dà nell'occhio.

Un clipper aggiunge un passaggio. Confronta ogni testo copiato con una serie di schemi: una stringa che inizia con bc1, 1 o 3 potrebbe essere Bitcoin, 0x seguito da 40 caratteri esadecimali è un indirizzo EVM, e così via. Quando c'è una corrispondenza, inserisce al suo posto un indirizzo dell'attaccante dello stesso tipo. Le versioni più accurate scelgono un sostituto che condivide i primi e gli ultimi caratteri con il tuo, così un'occhiata veloce alle due estremità sembra corretta.

Lo scambio avviene nell'intervallo tra copia e incolla. Il tuo wallet riceve un indirizzo perfettamente valido – solo che è quello sbagliato – e non ha alcun modo di sapere che in origine era diverso.

Come ti infetti

I clipper raramente sono il piatto forte. Di solito arrivano insieme a qualcosa che hai scelto tu di installare:

• Software crackato e cheat per videogiochi. Gli strumenti pirata sono uno dei canali di diffusione più comuni.
• App wallet false e «bot di trading». Un software che promette un vantaggio è l'esca perfetta proprio per chi muove crypto.
• Estensioni del browser malevole. Un'estensione con il permesso di leggere le pagine e gli appunti può fare lo stesso lavoro dall'interno del browser.
• Download trappola. Falsi programmi di installazione di app popolari, distribuiti tramite annunci sui motori di ricerca o siti che imitano quelli originali.

Tenere il sistema aggiornato, installare solo da fonti ufficiali e usare meno estensioni riduce le probabilità. Ma l'ipotesi onesta è che qualsiasi computer di uso generale potrebbe essere compromesso un giorno: per questo le difese più importanti non dipendono dal fatto che il computer sia pulito.

Controllare bene un indirizzo

L'abitudine che sconfigge un clipper è confrontare l'indirizzo incollato con la fonte, controllando più delle sole estremità.

• Confronta anche una sezione centrale. Gli indirizzi somiglianti vengono generati per coincidere all'inizio e alla fine. Una sequenza di caratteri dal centro è molto più difficile da falsificare.
• Controlla dopo aver incollato, non prima. Lo scambio avviene al momento dell'incolla. Guardare ciò che hai copiato non dimostra nulla.
• Usa la fonte originale. Confronta con l'indirizzo mostrato sulla pagina dell'exchange o della fattura, non con una copia di una copia.
• Invia prima un piccolo test per pagamenti consistenti o verso nuovi destinatari, e verifica che sia arrivato prima di inviare il resto.
• Salva gli indirizzi fidati. Una voce della rubrica che hai verificato una volta non può essere sostituita mentre passa per gli appunti.

È la stessa disciplina che protegge dall'address poisoning, in cui gli attaccanti riempiono la tua cronologia di indirizzi somiglianti invece di riscrivere i tuoi appunti. In entrambi i casi, l'attaccante scommette che controllerai solo i primi e gli ultimi caratteri.

Perché conta un secondo dispositivo

Un clipper sul tuo computer controlla ciò che il computer ti mostra. Se la stessa macchina costruisce la transazione e ti chiede anche di confermarla, il malware può far sì che le due cose coincidano.

È qui che il design di SSP aiuta. Quando invii da SSP Wallet, la transazione non è completa finché SSP Key non la approva sul tuo telefono. SSP Key decodifica la transazione direttamente sul telefono e ti mostra destinatario e importo ricavati da quella decodifica, non da ciò che afferma il computer. Un clipper sul computer può cambiare ciò che incolli, ma non può cambiare ciò che il telefono legge dalla transazione.

Il controllo che conta, quindi, è quello su SSP Key: lì confronta l'indirizzo del destinatario con la fonte originale prima di approvare. È il momento per cui è stato pensato il modello a due dispositivi, e l'approvazione sul secondo dispositivo è ciò che ferma davvero una transazione quando qualcosa a monte è andato storto.

Vale la pena dire chiaramente qual è il limite. SSP Key ti mostra l'indirizzo che la transazione paga davvero, ma non può sapere quale indirizzo intendevi pagare. Se approvi senza confrontare, un indirizzo sostituito passa con la stessa validità di quello giusto.

Se succede

Una transazione confermata non può essere annullata. Se scopri che i fondi sono finiti a un indirizzo sostituito:

1. Smetti di usare il dispositivo infetto per qualsiasi operazione sensibile, e considera esposto tutto ciò che vi è stato digitato o copiato.
2. Verifica se il dispositivo conteneva chiavi. In tal caso, sposta i fondi rimanenti su nuove chiavi create su un dispositivo pulito.
3. Segnalalo all'exchange o al servizio che stavi pagando, e conserva l'ID della transazione: a volte i fondi rubati arrivano su una piattaforma in grado di congelarli.
4. Ripulisci o reinstalla il dispositivo prima di fidarti di nuovo.

Il riassunto onesto

I clipper non violano la crittografia; sfruttano il copia e incolla. Vincono quando l'indirizzo che controlli è quello sullo stesso schermo controllato dal malware, e quando dai solo un'occhiata alle estremità.

Confronta l'indirizzo completo con la fonte originale, controlla una sezione centrale, fai un test per i pagamenti consistenti ed esegui il confronto finale su un dispositivo separato. Con SSP, quel dispositivo è SSP Key: usalo come il secondo sguardo per cui è stato progettato. E quando il formato stesso dell'indirizzo non ti è familiare, vale la pena sapere in cosa differiscono i formati degli indirizzi prima di inviare.