Google, sul Play Store false app per le criptovalute

Il Google Play Store, l’app store ufficiale di Google, è finito al centro di qualche polemica per aver “ospitato” alcune applicazioni nocive per gli utenti Android.

Coin Wallet

Alcuni esperti di sicurezza hanno infatti individuato in Play Store due wallet digitali fraudolenti. Il primo, chiamato Coin Wallet, permette agli utenti di creare wallet per una lunga serie di diversi asset digitali. In particolare, Coin Wallet proponeva di generare un indirizzo unico wallet per depositare più criptovalute: peccato solo che, in realtà, l’applicazione utilizzasse di fatto un wallet di proprietà dello sviluppatore per ogni valuta supportata, per un totale di 13 wallet.

Ad ogni utente di Coin Wallet era dunque assegnato lo stesso indirizzo del wallet. In termini ancora più semplici, lo scopo effettivo dell’app era quello di convincere gli utenti ad aprire dei wallet, ignorando però che quell’indirizzo non era loro, bensì dello sviluppatore. Dunque, una volta che gli utenti procedevano con il trasferire la criptovaluta agli indirizzi comunicati, finivano con il perdere il controllo delle proprie valute digitali. Purtroppo, l’applicazione è stata resa disponibile sul Play Store per tre mesi, dal 7 febbraio al 5 maggio. Durante tale presenza, l’app è stata installata più di 1.000 volte.

Trezor Mobile Wallet

Una seconda applicazione fraudolenta presente sul Play Store si chiamava invece Trezor Mobile Wallet. In questo caso, l’app puntava nell’emulare l’hardware utilizzato per i wallet criptovalutari di Trezor, tra i leader nel settore. Purtroppo, però, anche in questo caso si trattava di una truffa: l’applicazione forniva poi istruzioni agli utenti, domandando loro di inserire i dati di login dei propri wallet su Trezor, inviandoli a un server controllato dagli sviluppatori. Anche se, fortunatamente, diversi livelli di sicurezza integrati nei wallet Trezor “veri” impedivano alle credenziali inserite di accedere ai legittimi conti, gli esperti di sicurezza ritengono che gli indirizzi e-mail o altri dati personali potrebbero essere utilizzati in attacchi di phishing.

Purtroppo, gli esperti che hanno individuato questa seconda applicazione falsa hanno sostenuto il fatto che,  a prima vista, si trattava effettivamente di un software credibile. Il nome dell’app, il nome dello sviluppatore, la categoria dell’applicazione, la descrizione dell’applicazione e le immagini, sembravano infatti tutti richiamare la legittimità dei servizi Trezor. Naturalmente, ad un esame più approfondito si scopriva tuttavia che con Trezor questa app non aveva proprio niente a che vedere.

La certezza la si otteneva infine installando l’app. L’icona visualizzata sullo schermo dello smartphone era nettamente diversa dalla vera applicazione Trezor e mostrava le parole “Coin Wallet”.

In questo caos, la diffusione dell’applicazione è stata più ridotta, considerato che è stata tolta dallo store qualche giorno fa, ed era stata caricata su Google Play il 1° maggio. I download dell’app dovrebbero pertanto essere molto più ridotti. Gli analisti di sicurezza hanno scoperto che entrambe le applicazioni erano collegate allo stesso dominio (coinwalletinc[.]com).