Falsi agenti AI per il trading crypto: come il malware svuota i portafogli digitali

19/09/2026 ECONOMIA Condividi Preferisci Informazione.News su Google

Redazione Economia   -   Nel report trimestrale Threat Insights pubblicato da HP Inc. sulla base dei dati raccolti tra aprile e giugno 2026 tramite milioni di endpoint dotati della tecnologia HP Wolf Security, emerge una nuova tendenza di attacco informatico che sfrutta l'interesse verso l'intelligenza artificiale agentica per indurre gli utenti a compromettere i propri sistemi.

I ricercatori del laboratorio di sicurezza hanno rilevato campagne in cui falsi agenti di trading basati su intelligenza artificiale vengono promossi online per spingere le vittime a scaricare software malevoli; una volta installato, il programma analizza i browser alla ricerca di estensioni dedicate alle criptovalute, come Coinbase e MetaMask, sostituendole con versioni contraffatte progettate per sottrarre le credenziali di accesso e svuotare i portafogli digitali.

La catena di infezione: dal falso agente al wallet compromesso

Il sito utilizzato nella campagna, tradingclaw.pro, si presentava come un assistente AI in grado di operare sul mercato delle criptovalute 24 ore su 24, offrendo un download per Windows e persino un avviso di prossima disponibilità per Mac OS, dettaglio che contribuiva a costruire l'illusione di un progetto in sviluppo attivo. Per attirare traffico, i criminali hanno fatto ricorso a tecniche di avvelenamento dei motori di ricerca e pubblicità a pagamento, intercettando chi cercava soluzioni di trading automatizzato.

Il file scaricato conteneva un eseguibile OLEView, un programma legittimo firmato digitalmente da Microsoft, utilizzato per aggirare i controlli di reputazione di SmartScreen. Una volta avviato, il binario caricava una libreria malevola attraverso una tecnica di DLL side-loading, per poi eseguire il payload finale tramite process hollowing, iniettando il codice in un processo apparentemente affidabile.

Il malware identificato come Needle Stealer, scritto in linguaggio Go, confrontava quindi gli identificativi delle estensioni installate con una lista predefinita di wallet bersaglio.

Sette estensioni nel mirino e il QR phishing come tecnica parallela

Tra gli obiettivi rilevati dai ricercatori figurano Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask e Tonkeeper. Quando il malware individuava una delle estensioni target, terminava il processo del browser e tentava di sostituire l'estensione originale con una versione compromessa, progettata per comunicare con un server di command and control.

Le schermate di autenticazione delle estensioni contraffatte riproducevano con cura quelle dei wallet originali, riducendo gli elementi che avrebbero potuto insospettire l'utente.

Il report evidenzia contestualmente il ricorso al QR phishing per reindirizzare le vittime dai personal computer a dispositivi mobili meno protetti: i criminali distribuiscono PDF con contenuti oscurati e la richiesta di scansionare un codice per sbloccarli, aggirando così i filtri di rete aziendali.

Un ulteriore elemento di rischio è rappresentato dalla comparsa del caricatore Phantom Gate, componente modulare che amplia la portata del malware Phantom Stealer, commercializzato sul mercato come strumento di test di penetrazione ma impiegato per scalare le infezioni su vasta scala.

I numeri del fenomeno e la replica di HP Italy

Nel dettaglio dei dati di tracciamento, il 10 per cento delle minacce via posta elettronica ha superato almeno un filtro di scansione dei gateway, mentre i file eseguibili hanno rappresentato la tipologia di vettore principale con il 40 per cento dei casi, seguiti dagli archivi compressi al 38 per cento e dai documenti PDF al 7,5 per cento.

Patrick Schläpfer, Principal Threat Researcher di HP Security Lab, ha spiegato che gli attaccanti stanno sfruttando l'adozione di strumenti di IA agentica per investire in nuove esche che inducono gli utenti a scaricare software malevolo che sembra legittimo, rendendo la distribuzione del malware più raffinata e difficile da rilevare.

Giampiero Savorelli, VP e AD di HP Italy, ha commentato che la velocità con cui i cybercriminali adattano tecniche e strumenti ai nuovi trend tecnologici dimostra che anche la sicurezza deve evolvere con la stessa rapidità; per le organizzazioni significa adottare un approccio zero-trust basato sull'isolamento e sul contenimento, affinché click e download non attendibili non si trasformino in un rischio.