{"id":214988,"date":"2025-08-10T09:00:00","date_gmt":"2025-08-10T09:00:00","guid":{"rendered":"https:\/\/cryptonews.com\/it\/?p=214988"},"modified":"2025-08-10T09:00:00","modified_gmt":"2025-08-10T09:00:00","slug":"gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute","status":"publish","type":"post","link":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/","title":{"rendered":"Gli hacker di GreedyBear rubano pi\u00f9 di 1 milione di dollari in criptovalute"},"content":{"rendered":"

La societ\u00e0 di sicurezza informatica Koi Security ha smascherato la sofisticata operazione del gruppo di hacker GreedyBear<\/strong><\/a>, che ha utilizzato 150 estensioni Firefox trasformate in armi, quasi 500 file eseguibili dannosi e decine di siti web di phishing per rubare oltre 1 milione di dollari in criptovalute.<\/p>

La campagna coordinata ha impiegato una nuova tecnica denominata \u201cExtension Hollowing<\/strong>\u201d per aggirare la sicurezza del marketplace creando estensioni wallet apparentemente legittime prima di trasformarle in armi con codice dannoso.<\/p>

Un singolo server ha controllato un’operazione di furto da oltre 1 milione di dollari<\/h2><\/span>

Il gruppo di hacker<\/strong> ha condotto le operazioni attraverso un unico server, controllando l’infrastruttura di comando attraverso estensioni del browser, payload malware e siti web truffaldini.<\/p>

A partire dalla precedente campagna \u201cFoxy Wallet<\/strong>\u201d, che coinvolgeva 40 estensioni dannose<\/strong><\/a>, il gruppo GreedyBear<\/strong> si \u00e8 evoluto. Ora mostra una portata e un coordinamento nelle operazioni di criminalit\u00e0 informatica incentrate sulle criptovalute su una scala decisamente superiore.<\/p>

Le estensioni Firefox dannose impersonavano popolari wallet di criptovalute, tra cui MetaMask, TronLink, Exodus e Rabby Wallet, acquisendo le credenziali direttamente dai campi di immissione dati degli utenti.<\/p>

\n
\"\"
Fonte: Koi Security<\/em><\/figcaption><\/figure>\n<\/div>

Quasi 500 eseguibili Windows appartenenti a diverse famiglie di malware hanno preso di mira le vittime attraverso siti web russi che distribuivano software crackato, mentre pagine di destinazione di prodotti falsi pubblicizzavano wallet hardware fraudolenti<\/strong> e servizi di riparazione.<\/p>

I ricercatori di sicurezza hanno identificato chiari segni di artefatti di codice generati dall’intelligenza artificiale<\/strong> durante tutta la campagna, che hanno consentito agli aggressori di espandere rapidamente le operazioni ed eludere i sistemi di rilevamento.<\/p>

L’espansione dell’infrastruttura include varianti confermate dell’estensione Chrome<\/strong> e suggerisce un imminente dispiegamento multipiattaforma su Edge<\/strong> e altri ecosistemi di browser oltre a Firefox<\/strong>.<\/p>

La tecnica di Extension Hollowing ha aggirato la sicurezza del marketplace attraverso la creazione di fiducia<\/h2><\/span>

GreedyBear ha aperto la strada alla metodologia dell’Extension Hollowing<\/strong> creando account di editori e caricando 5-7 estensioni innocue, come link sanitizer<\/em> e downloader<\/em> di YouTube<\/strong>, prive di funzionalit\u00e0.<\/p>

\n
\"\"
Fonte: Koi Security<\/figcaption><\/figure>\n<\/div>

Gli hacker hanno pubblicato decine di false recensioni positive<\/strong> per costruire un indice di credibilit\u00e0 prima di trasformare in armi le estensioni consolidate cambiando nomi, icone e iniettando codice dannoso.<\/p>

Questo approccio ha permesso di aggirare la sicurezza del marketplace durante le revisioni iniziali, mantenendo valutazioni positive e la fiducia degli utenti grazie alla storia legittima dell’estensione svuotata.<\/p>

Le estensioni trasformate in armi trasmettevano gli indirizzi IP delle vittime durante l’inizializzazione, acquisendo le credenziali del wallet da interfacce pop-up ed esfiltrando i dati verso server remoti.<\/p>

La campagna ha avuto origine dall’operazione Foxy Wallet<\/strong>, ma si \u00e8 evoluta oltre le 40 estensioni dannose iniziali fino a oltre 150 componenti aggiuntivi di Firefox trasformati in armi.<\/p>

\n
\"\"
Fonte: Koi Security<\/em><\/figcaption><\/figure>\n<\/div>

Le vittime hanno segnalato perdite ingenti, poich\u00e9 le estensioni mantenevano le funzionalit\u00e0 previste del wallet mentre trasmettevano segretamente le credenziali all’infrastruttura controllata dagli aggressori.<\/p>

Koi Security<\/strong> ha confermato le connessioni a Chrome attraverso un’estensione \u201cFilecoin Wallet<\/strong>\u201d che comunicava con lo stesso server.<\/p>

All’inizio di quest’anno, OKX<\/strong> e Microsoft<\/strong> avevano gi\u00e0 messo in guardia contro il furto di credenziali, tuttavia, il gruppo di hacker ha attuato un approccio sistematico alla manipolazione del marketplace e allo sfruttamento della fiducia per creare canali di distribuzione sostenibili per le operazioni di furto di credenziali.<\/p>

Una campagna multipiattaforma ha coordinato la distribuzione di malware attraverso un’infrastruttura centralizzata<\/h2><\/span>

Come accennato in precedenza, i 500 eseguibili Windows dannosi<\/strong> comprendevano diverse famiglie di malware che sono stati distribuiti attraverso siti web russi, che a loro volta ospitavano software crackato e piratato. I malware hanno preso di mira gli utenti alla ricerca di alternative gratuite alle applicazioni legittime.<\/p>

I siti web truffaldini si mascheravano da wallet hardware con il marchio Jupiter<\/strong>, con mockup fabbricati dell’interfaccia utente e dei servizi di riparazione wallet che promettevano di riparare i dispositivi Trezor<\/strong>.<\/p>

\n
\"\"
Fonte: Koi Security<\/em><\/figcaption><\/figure>\n<\/div>

Le pagine di destinazione fraudolente raccoglievano informazioni personali, credenziali di wallet e dettagli di pagamento attraverso dimostrazioni convincenti dei prodotti e offerte di servizi.<\/p>

L’infrastruttura server centralizzata ha consentito operazioni semplificate per la raccolta delle credenziali, il coordinamento del ransomware e le campagne di phishing, mantenendo la sicurezza operativa.<\/p>

Tutti i domini risolvevano a un unico indirizzo IP, creando un sistema di comando e controllo unificato per la campagna di attacchi multivettoriali.<\/p>

Le capacit\u00e0 di scalabilit\u00e0 della campagna, assistita dall’intelligenza artificiale, ha consentito una rapida diversificazione del payload e l’elusione dei sistemi di rilevamento, un meccanismo che sta iniziando a diventare la nuova normalit\u00e0 per le operazioni di criminalit\u00e0 informatica incentrate sulle criptovalute.<\/p>

Le soluzioni di sicurezza legacy<\/strong> devono affrontare sfide sempre pi\u00f9 impegnative, poich\u00e9 gli aggressori sfruttano sofisticati strumenti di automazione per accelerare i cicli di sviluppo e distribuzione degli attacchi.<\/p>

Tra i recenti incidenti su larga scala figurano le truffe da 1 milione di dollari con il dirottamento di account YouTube<\/strong><\/a>, le perdite da phishing per 3,05 milioni di dollari<\/strong><\/a> e l’exploit CrediX da 4,5 milioni di dollari, successivamente recuperati grazie alle negoziazioni con gli hacker.<\/p>

Molti esperti hanno criticato l’attuale panorama della sicurezza delle criptovalute per aver consentito azioni non etiche, in particolare nell’approccio negoziale.<\/p>

Parlando con Cryptonews, il CEO di Circuit, Harry Donnelly<\/strong>, ha criticato i metodi di recupero basati sulla negoziazione a seguito dei recenti rimborsi dei fondi del protocollo CrediX, affermando che:<\/p>

\n

\u201cLa risposta automatizzata alle minacce dovrebbe essere lo standard per garantire che le risorse siano tenute al sicuro, piuttosto che sperare di negoziare con i malintenzionati. Il recupero di CrediX \u00e8 una vittoria rara in un sistema che troppo spesso lascia gli utenti con poche possibilit\u00e0 di ricorso\u201d.<\/p>\n<\/blockquote>

Questo dato arriva mentre il totale cumulativo delle perdite, per la prima met\u00e0 del 2025, ha raggiunto i 2,2 miliardi di dollari<\/strong> attraverso 344 incidenti.<\/p>","protected":false},"excerpt":{"rendered":"

Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.<\/p>\n","protected":false},"author":181,"featured_media":214989,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[9],"tags":[56,7929,258],"editors":[6251],"sponsored_companies":[],"class_list":["post-214988","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blockchain-news","tag-criptovalute","tag-furto","tag-hacker","editors-aniello-raul-barone"],"acf":[],"yoast_head":"\nGli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute<\/title>\n<meta name=\"description\" content=\"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/\" \/>\n<meta property=\"og:locale\" content=\"it_IT\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute\" \/>\n<meta property=\"og:description\" content=\"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/\" \/>\n<meta property=\"og:site_name\" content=\"Cryptonews Italia\" \/>\n<meta property=\"article:published_time\" content=\"2025-08-10T09:00:00+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1280\" \/>\n\t<meta property=\"og:image:height\" content=\"720\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:title\" content=\"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute\" \/>\n<meta name=\"twitter:description\" content=\"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.\" \/>\n<meta name=\"twitter:image\" content=\"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg\" \/>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute","description":"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/","og_locale":"it_IT","og_type":"article","og_title":"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute","og_description":"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.","og_url":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/","og_site_name":"Cryptonews Italia","article_published_time":"2025-08-10T09:00:00+00:00","og_image":[{"width":1280,"height":720,"url":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","type":"image\/jpeg"}],"twitter_card":"summary_large_image","twitter_title":"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute","twitter_description":"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.","twitter_image":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"NewsArticle","@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#article","isPartOf":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/"},"author":{"name":"raulbaroneind","@id":"https:\/\/cryptonews.com\/it\/#\/schema\/person\/23907e62540ffd34eb7dde1a29418d3c"},"headline":"Gli hacker di GreedyBear rubano pi\u00f9 di 1 milione di dollari in criptovalute","datePublished":"2025-08-10T09:00:00+00:00","mainEntityOfPage":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/"},"wordCount":958,"publisher":{"@id":"https:\/\/cryptonews.com\/it\/#organization"},"image":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#primaryimage"},"thumbnailUrl":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","keywords":["criptovalute","furto","hacker"],"articleSection":["Blockchain News"],"inLanguage":"it-IT","copyrightYear":"2025","copyrightHolder":{"@id":"https:\/\/cryptonews.com\/#organization"}},{"@type":"WebPage","@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/","url":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/","name":"Gli hacker di GreedyBear rubano pi\u00f9 di $1 milione in criptovalute","isPartOf":{"@id":"https:\/\/cryptonews.com\/it\/#website"},"primaryImageOfPage":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#primaryimage"},"image":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#primaryimage"},"thumbnailUrl":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","datePublished":"2025-08-10T09:00:00+00:00","description":"Gli hacker di GreedyBear hanno eseguito un furto su \u201cscala industriale\u201d utilizzando 150 estensioni Firefox trasformate in armi.","breadcrumb":{"@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#breadcrumb"},"inLanguage":"it-IT","potentialAction":[{"@type":"ReadAction","target":["https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/"]}],"author":[]},{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#primaryimage","url":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","contentUrl":"https:\/\/cimg.co\/wp-content\/uploads\/sites\/8\/2025\/08\/08132439\/1754659479-cover-024.jpg","width":1280,"height":720,"caption":"Gli hacker di GreedyBear rubano pi\u00f9 di 1 milione di dollari in criptovalute"},{"@type":"BreadcrumbList","@id":"https:\/\/cryptonews.com\/it\/news\/gli-hacker-di-greedybear-rubano-piu-di-1-milione-di-dollari-in-criptovalute\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/cryptonews.com\/it\/"},{"@type":"ListItem","position":2,"name":"Gli hacker di GreedyBear rubano pi\u00f9 di 1 milione di dollari in criptovalute"}]},{"@type":"WebSite","@id":"https:\/\/cryptonews.com\/it\/#website","url":"https:\/\/cryptonews.com\/it\/","name":"Cryptonews Italia","description":"Le notizie pi\u00f9 importanti sulle valute digitali","publisher":{"@id":"https:\/\/cryptonews.com\/it\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/cryptonews.com\/it\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"it-IT"},{"@type":"Organization","@id":"https:\/\/cryptonews.com\/it\/#organization","name":"Cryptonews Italia","url":"https:\/\/cryptonews.com\/it\/","logo":{"@type":"ImageObject","inLanguage":"it-IT","@id":"https:\/\/cryptonews.com\/it\/#\/schema\/logo\/image\/","url":"https:\/\/cryptonews.com\/wp-content\/uploads\/sites\/8\/2023\/10\/cropped-favicon_big.png","contentUrl":"https:\/\/cryptonews.com\/wp-content\/uploads\/sites\/8\/2023\/10\/cropped-favicon_big.png","width":512,"height":512,"caption":"Cryptonews Italia"},"image":{"@id":"https:\/\/cryptonews.com\/it\/#\/schema\/logo\/image\/"}}]}},"_links":{"self":[{"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/posts\/214988","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/users\/181"}],"replies":[{"embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/comments?post=214988"}],"version-history":[{"count":2,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/posts\/214988\/revisions"}],"predecessor-version":[{"id":215029,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/posts\/214988\/revisions\/215029"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/media\/214989"}],"wp:attachment":[{"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/media?parent=214988"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/categories?post=214988"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/tags?post=214988"},{"taxonomy":"editors","embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/editors?post=214988"},{"taxonomy":"sponsored_companies","embeddable":true,"href":"https:\/\/cryptonews.com\/it\/wp-json\/wp\/v2\/sponsored_companies?post=214988"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}