Un nuovo malware crypto individuato dai ricercatori di sicurezza sta colpendo gli utenti Windows con un meccanismo tanto semplice quanto efficace: non attacca direttamente l’exchange o il wallet, ma si mette in ascolto degli appunti del sistema e, nel momento esatto in cui copi e incolli un indirizzo per inviare fondi, lo sostituisce con quello dell’aggressore. Il risultato è una transazione che parte regolarmente, ma verso il portafoglio sbagliato.
La minaccia, battezzata “Crypto Clipper”, unisce furto dagli appunti, propagazione via chiavette USB e comunicazioni nascoste sulla rete Tor. È attiva almeno da febbraio 2026 e rappresenta un’evoluzione preoccupante di una categoria di attacchi — i cosiddetti clipper — che da anni prende di mira chi muove criptovalute.
Come funziona il malware crypto «Crypto Clipper»
Il cuore di questo malware crypto è un’operazione banale ma devastante: monitora il contenuto degli appunti di Windows con una frequenza altissima, circa ogni mezzo secondo. Ogni volta che individua una stringa compatibile con un indirizzo di wallet — Bitcoin, Ethereum e altre catene — la confronta con i propri schemi e la rimpiazza al volo con un indirizzo controllato dagli aggressori.
Chi sta per inviare una transazione, nella stragrande maggioranza dei casi copia e incolla l’indirizzo del destinatario: nessuno digita a mano 42 caratteri esadecimali. Ed è proprio su questa abitudine che il malware fa leva. L’utente vede l’indirizzo “giusto” prima di copiarlo, ma quello che finisce nel campo del wallet è già stato alterato.
La propagazione via USB e il backdoor su Tor
Ciò che distingue questa campagna da un clipper tradizionale è la capacità di diffondersi da sola. Il malware si propaga come un worm attraverso le chiavette USB, sfruttando file di collegamento (i file .lnk, le icone-scorciatoia di Windows): quando l’utente apre quella che sembra una normale cartella, viene eseguito il codice che installa la minaccia sul nuovo dispositivo.
Una volta insediato, il software apre un canale di comunicazione cifrato verso i server di comando attraverso la rete Tor, garantendosi persistenza e anonimato. Non si limita quindi al furto: funziona come un backdoor leggero, capace di scaricare ulteriori comandi e aprire la strada ad attività successive sul computer infettato.
Il rischio reale: appunti, seed phrase e chiavi private
L’aspetto più insidioso è che il malware non cerca soltanto gli indirizzi di destinazione. Analizza gli appunti anche alla ricerca di seed phrase e chiavi private, ovvero le credenziali che danno accesso completo a un portafoglio. Chi conserva la propria frase di recupero in un file di testo o la copia-incolla durante una configurazione espone l’intero wallet, non una singola transazione.
È un promemoria di un principio che ripetiamo spesso: la sicurezza delle criptovalute non si gioca quasi mai sulla blockchain — che resta solida — ma sull’anello debole, cioè il dispositivo e le abitudini di chi lo usa.
Come proteggersi dal malware crypto
- Verifica sempre l’indirizzo dopo averlo incollato: controlla i primi e gli ultimi caratteri prima di confermare l’invio. È la difesa più semplice e più efficace contro i clipper.
- Usa un hardware wallet e conferma l’indirizzo sullo schermo del dispositivo fisico, non solo su quello del computer.
- Non copiare mai la seed phrase negli appunti né salvarla in file digitali: va custodita offline, su carta o su supporti dedicati.
- Diffida delle chiavette USB di provenienza sconosciuta e disattiva l’esecuzione automatica.
- Mantieni aggiornati sistema operativo e antivirus: le firme di questa famiglia di malware vengono via via riconosciute dalle principali soluzioni di sicurezza.
Capire la differenza tra la robustezza del protocollo Bitcoin e la fragilità del suo utilizzo quotidiano è il primo passo per muoversi in sicurezza. Su questo tema, la divulgazione scientifica di Bitcoin Scientifico aiuta a distinguere ciò che è realmente un rischio del sistema da ciò che dipende dall’utente.
Disclaimer: questo articolo ha finalità esclusivamente informative e divulgative. Non costituisce consulenza finanziaria né incitamento all’investimento. Le criptovalute sono strumenti ad alto rischio: ogni decisione è di esclusiva responsabilità del lettore.