La storia va sempre allo stesso modo. Qualcuno chiude il MacBook la sera con il saldo del wallet intatto, e al mattino è vuoto. Le transazioni sono partite alle 3 di notte, col portatile in stop. Sembra impossibile, perché il Mac era spento. Non lo è, e capire perché è la cosa più utile che puoi imparare sul tenere un hot wallet su Mac. Questa guida di MacHabits sul modello di minaccia di un hot wallet su Mac lo spiega.
Un Mac in stop non ti protegge, perché l’attaccante non ha mai usato il tuo Mac per prendere i soldi.
Perché lo stop non conta
Un wallet da browser come MetaMask conserva le tue chiavi in una cassaforte cifrata sul tuo disco, che si apre con la password del wallet. A un ladro servono due cose: una copia di quella cassaforte e, o la password, o la frase di recupero che ricostruisce tutto.
Con quelle in mano, il tuo Mac è irrilevante. Aprono il wallet sul proprio computer e firmano lì le transazioni. Lo svuotamento può arrivare pochi minuti dopo il furto o settimane dopo, spesso di notte nel tuo fuso orario, perché nessuno sta guardando.
La vera perdita è quindi avvenuta prima: quando qualcosa ha copiato la tua cassaforte e catturato la tua password, o quando hai digitato la frase di recupero dove non dovevi.
Come ottengono la cassaforte e la password
- Stealer. MacSync e malware simili copiano i dati delle estensioni wallet del browser, le password salvate nel browser, il tuo file del portachiavi e la password del Mac, che chiedono direttamente con una finestra finta. Se la password del wallet è uguale o simile a una di queste, la cassaforte si apre.
- Estensioni wallet manomesse. Alcuni ricercatori di sicurezza hanno documentato una campagna rivolta a sviluppatori crypto e Web3 che modificava l’estensione di MetaMask perché inviasse password del wallet e cassaforte cifrata direttamente all’attaccante. Anche la backdoor di MacSync ha un comando per installare estensioni del browser.
- Estensioni e siti clonati. Estensioni e pagine di download false di MetaMask, spinte da annunci di ricerca o recensioni finte, si comportano come l’originale finché non le hai finanziate.
- Phishing per la frase. Email e pagine che si spacciano per MetaMask, con un “aggiornamento obbligatorio 2026” o una finta configurazione della verifica in due passaggi, hanno svuotato centinaia di wallet quest’anno. Tutte finiscono chiedendo la tua frase di recupero.
- Autorizzazioni che hai già firmato. Un sito malevolo può farti approvare la spesa illimitata di un token. Non succede nulla finché l’attaccante non la usa, e può essere in qualsiasi momento, mentre il tuo Mac dorme.
Cosa protegge macOS e cosa no
- Gatekeeper e la notarizzazione fermano molte app malevole, ma non quelle che approvi digitando la password, né i comandi che incolli nel Terminale.
- FileVault protegge i tuoi dati se il Mac viene rubato da spento. Non fa nulla contro un malware che gira mentre hai la sessione aperta.
- I permessi di privacy limitano ciò che le app possono leggere, ma un’estensione del browser gira dentro il browser e ha già accesso al wallet.
Detto chiaramente: su un Mac, come su qualsiasi computer, un hot wallet è sicuro quanto tutto il resto che gira su quel computer e in quel browser. La configurazione di hot wallet che funziona parte da questo fatto.
Un modello di minaccia che funziona
- Dividi i tuoi soldi. In un hot wallet tieni solo i soldi da spendere. I risparmi vanno su un hardware wallet, dove ogni transazione va confermata sullo schermo del dispositivo stesso.
- Dai al wallet un profilo del browser tutto suo o, meglio, un account utente macOS tutto suo. Installaci l’estensione del wallet e nient’altro, e usalo solo per le crypto.
- Usa una password del wallet unica, che non sia la password del Mac, non sia salvata nel browser e non sia riusata altrove.
- Blocca il wallet automaticamente dopo pochi minuti, dalle sue impostazioni.
- Controlla e revoca regolarmente le autorizzazioni dei token con un verificatore di autorizzazioni affidabile, soprattutto quelle illimitate.
- Installa le estensioni wallet solo dal link del sito ufficiale del wallet e controlla l’editore nello store delle estensioni.
- Considera un attacco qualsiasi richiesta della tua frase di recupero. MetaMask, Ledger e Trezor non la chiedono mai via email, in un pop-up o in una scheda del browser.
- Tieni aggiornati macOS e il browser. Questa settimana significa 27.0.1, 26.7.1 o 15.8.1.
Se è già successo
- Da un altro dispositivo pulito, crea un nuovo wallet con una nuova frase di recupero e sposta tutto ciò che resta nel vecchio wallet e in qualsiasi wallet che ne condividesse la frase o la password.
- Revoca le autorizzazioni dei token ancora attive dal vecchio indirizzo.
- Controlla sul Mac i segnali descritti nella nostra guida su MacSync. Se ne trovi, cancellalo e reinstalla macOS prima di usarlo di nuovo per le crypto.
- Cambia dal dispositivo pulito le password di email, exchange e del tuo account Apple.
- Diffida di chi si offre di recuperare i fondi in cambio di una commissione. Le truffe di recupero prendono di mira chi ha appena subito una perdita.
In breve
Un hot wallet svuotato mentre il tuo MacBook dormiva non è stato svuotato attraverso il Mac. Qualcosa ha copiato prima la tua cassaforte e la tua password, oppure hai inserito la frase di recupero da qualche parte, e il ladro ha firmato le transazioni sul proprio computer. Tieni solo piccole somme in un hot wallet, isolalo in un profilo del browser o in un account utente tutto suo, usa una password unica, revoca le autorizzazioni e tieni i risparmi su un hardware wallet. L’analisi di MacHabits su come vengono svuotati gli hot wallet su Mac raccoglie i controlli in un unico posto. Fonte: machabits.info/articles/hot-wallet-on-mac-threat-model