Portafogli crypto in pericolo: Microsoft scopre una grave falla di sicurezza Android che colpisce 30 milioni di utenti

Tutto è iniziato con una scansione di routine del ventre digitale: gli investigatori della sicurezza di Microsoft che passavano al setaccio il mondo delle app mobili in cerca di punti deboli nell’armatura. Ciò che hanno trovato, però, era tutt’altro che ordinario: un varco enorme nascosto nel codice di un toolkit Android di terze parti, silenziosamente incorporato in portafogli crypto usati da decine di milioni di persone. La falla, non rilevata e potenzialmente devastante, avrebbe potuto consegnare ai criminali informatici le chiavi di un regno di asset digitali. Ecco come si è svolta la vicenda - e perché riguarda chiunque affidi al proprio telefono la propria fortuna.

L’anatomia di una minaccia silenziosa

Al centro dell’incidente c’è EngageSDK, un toolkit progettato da EngageLab per aiutare gli sviluppatori a gestire messaggistica e notifiche push. Questo SDK non è stato creato con intenti malevoli - anzi, è un componente affidabile nell’ecosistema delle app Android, inclusi i portafogli di criptovalute che, complessivamente, superano i 30 milioni di download. Ma un difetto nel modo in cui EngageSDK gestiva gli “intent” di Android - il meccanismo con cui le app comunicano e condividono dati - ha lasciato spalancata una pericolosa porta sul retro.

I ricercatori di Microsoft hanno identificato una vulnerabilità di “intent redirection”. In sostanza, un’app malevola sullo stesso dispositivo poteva creare un messaggio speciale (intent) capace di ingannare un’app di portafoglio crypto vulnerabile inducendola a divulgare informazioni sensibili. Sfruttando questo meccanismo, gli attaccanti potevano eludere la sandbox di sicurezza di Android - una difesa fondamentale pensata per impedire alle app di spiarsi a vicenda - e ottenere accesso a dati personali, credenziali di accesso e persino informazioni finanziarie memorizzate nel portafoglio.

Il rischio era amplificato dall’ampia diffusione dell’SDK. Gli sviluppatori di portafogli crypto avevano integrato EngageSDK come dipendenza, talvolta senza essere consapevoli della sua postura di sicurezza interna. Una volta scoperto il bug, Microsoft ha avvisato sia EngageLab sia l’Android Security Team di Google. La risposta è stata rapida: le app interessate sono state eliminate da Google Play e EngageLab ha distribuito una versione corretta (5.2.1) all’inizio di novembre 2025.

Sebbene il modello di sicurezza a strati di Android abbia fornito una certa mitigazione, l’incidente mette in luce i pericoli nascosti che si annidano nelle dipendenze software di terze parti - un anello debole capace di compromettere anche l’app più attenta alla sicurezza.

Lezioni sull’orlo del baratro

Fortunatamente, Microsoft non ha rilevato segnali che gli hacker abbiano sfruttato questa falla prima che venisse corretta. Ma per milioni di utenti di portafogli crypto, l’episodio è un monito netto: nella corsa all’oro digitale, anche gli strumenti fidati possono diventare complici inconsapevoli del cybercrimine. Man mano che l’ecosistema delle app diventa più complesso, la vigilanza - da parte di sviluppatori, fornitori di piattaforme e utenti - resta la salvaguardia definitiva.

WIKICROOK

• SDK (Software Development Kit): Un SDK è un insieme di strumenti e risorse che aiuta gli sviluppatori a creare, testare e distribuire software per una specifica piattaforma o dispositivo.
• Intent: L’intent è lo scopo alla base dell’azione di un utente, utilizzato nei modelli di sicurezza per concedere accesso in base al contesto, non solo a identità o ruoli statici.
• Security Sandbox: Una sandbox di sicurezza isola applicazioni o codice, impedendo accessi non autorizzati ai dati e limitando i potenziali danni di software malevolo o difettoso.
• Dependency: Una dipendenza è codice o software esterno su cui un progetto fa affidamento; se compromessa, può introdurre vulnerabilità in tutti i progetti che ne dipendono.
• Patch: Una patch è un aggiornamento software rilasciato per correggere vulnerabilità di sicurezza o bug nei programmi, contribuendo a proteggere i dispositivi dalle minacce informatiche e a migliorare la stabilità.