Almeno 4,06 milioni di dollari in USDT sono usciti da 365 wallet Tron tra blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 5 ottobre e il 4 novembre 2026 e sono finiti in 43 wallet collettori che hanno tutti inviato commissioni allo stesso indirizzo. Lo sostiene un’indagine della società di dati on-chain Bitquery, le cui cifre sono state verificate il 5 novembre. Dai wallet sono stati sottratti anche 137.688 TRX. Bitquery è partita da una sola vittima, il possessore di un iPhone che il 15 ottobre ha perso 16.428 USDT, e il suo rapporto collega l’ondata ai furti da wallet crypto su iPhone.
Il rapporto non mostra invece come i wallet siano stati svuotati. CryptoSlate, che il 7 novembre ha rilanciato i risultati, ha messo «zero-click iOS exploits» nel titolo. Le fonti alla base della vicenda non sostengono quella formula. Un solo furto è legato a un iPhone, quella vittima ha raccontato di aver toccato una pubblicità in Safari prima della perdita, e la stessa Bitquery dichiara di non poter confermare l’uso di un exploit kit.
I due kit citati dalla stampa, Coruna e DarkSword, esistono davvero. Google, iVerify e i produttori di wallet li hanno documentati, e Apple ha corretto da mesi le falle su cui si basano. La società di sicurezza iVerify definisce l’attacco veicolato dalle pubblicità un «half-click»: il telefono si infetta quando il contenuto malevolo si carica, non per un messaggio che arriva da solo.
Ciò che i kit cercano sul telefono è la frase di recupero, spesso salvata come foto o come nota. La nostra guida alla sicurezza della seed phrase spiega come conservarla in modo più sicuro.
Bitquery ha tracciato 4,06 milioni di USDT su Tron fino a 43 wallet collettori
Il metodo di Bitquery è volutamente stretto. Un wallet è stato contato come vittima solo quando un unico pagamento ne ha svuotato tutti gli USDT, cioè lo schema di un prelievo fatto da chi possiede la chiave privata e non quello di un utente che sposta i propri fondi. I totali sono quindi soglie minime: il denaro sottratto in più passaggi, o da wallet rimasti con un piccolo saldo, non rientra nel conteggio.
La cifra di 365 conta gli indirizzi svuotati, non le persone. Di quegli indirizzi, 276 hanno perso USDT e 89 soltanto TRX. Una persona può possedere più indirizzi, quindi il numero di chi è stato colpito resta sconosciuto.
| Misura (5 ott-4 nov 2026) | Dato di Bitquery |
|---|---|
| USDT sottratti su Tron | almeno 4,06 milioni di dollari |
| TRX sottratti | 137.688 TRX |
| Indirizzi Tron svuotati | 365 (276 hanno perso USDT, 89 solo TRX) |
| Wallet collettori | 43, tutti collegati a un unico wallet delle commissioni |
| Giorno peggiore | 25 ottobre, circa 1,25 milioni di dollari (31% degli USDT) |
| Vittime con perdite da 100.000 dollari in su | 8, con 2,55 milioni di dollari, il 63% degli USDT sottratti |
| Wallet svuotati attivi da oltre un anno | 46% (168 wallet) |
| Inviati da Ethereum a Tron tramite LI.FI | 1,51 milioni di dollari in 71 trasferimenti |
| Altre blockchain | 65 wallet in più su otto catene, almeno 103.000 dollari |
Il wallet delle commissioni, TUYFAa8hHjeEW6bPqBJ4v3RjQR2uKM1Svk, è il filo che lega i 43 collettori. Bitquery è prudente su ciò che questo dimostra: i collegamenti sono flussi di denaro, e i flussi di denaro da soli non provano che una persona o un gruppo controlli ogni collettore.
L’andirivieni tramite bridge è la parte più strana del percorso. Circa 1,51 milioni di dollari sono tornati su Tron dagli indirizzi Ethereum dei ladri attraverso l’aggregatore LI.FI, in 71 trasferimenti, quasi tutti pagati in USDT a otto nuovi wallet. La nostra voce del glossario sui bridge cross-chain spiega come funzionano questi passaggi. Dei 321.000 dollari pagati tramite NEAR Intents ai ricevitori su Ethereum, circa 175.000 non hanno una fonte tracciata, afferma Bitquery. Le uscite da Tron sono passate da CCE Cash fino al 25 ottobre, poi da deBridge, NEAR Intents, OKX (88.000 dollari) e USDT0.
Le vittime non erano account piccoli o nuovi. Quasi la metà dei wallet svuotati era in uso da più di un anno, l’87% conteneva fondi da oltre un mese e solo 15 avevano meno di un giorno di vita. Fuori da Tron, Bitquery ha trovato altri 65 wallet svuotati su otto catene, per lo più Ethereum e BNB Chain, per almeno 103.000 dollari, di cui Ethereum (62.000) e BNB Chain (24.000) coprono la maggior parte. Si parla anche di vittime su TON, che però restano fuori dai dati di Bitquery.
Il prelievo da 519.093 USDT del 25 ottobre, verificato su Tronscan
Il giorno più pesante è stato il 25 ottobre, quando circa 1,25 milioni di dollari hanno lasciato i wallet delle vittime, 1,21 milioni dei quali da appena due di essi. La perdita singola più alta nei dati di Bitquery, 693.023 dollari, viene da un wallet che inizia con TE1Nb7. La seconda, che Bitquery usa come caso di studio, è visibile sull’explorer Tronscan: 519.093,33 USDT dall’indirizzo TJMn77jsqEw7Tu6qgwQiZ6FEwt4H2JcfvB a TEDjNzXWsTrRcHmRnGPPqGRmqCmrA1vvGZ, il collettore più grande, che secondo Bitquery ha ricevuto in totale 974.487 USDT.
Coindaro ha controllato quella transazione il 7 novembre tramite l’API pubblica di Tronscan. Risulta confermata e riuscita, nel contratto USDT di Tether su Tron, nel blocco 87.432.325, alle 23:16:39 UTC del 25 ottobre 2026. Il wallet mittente aveva effettuato regolari pagamenti in USDT nei giorni precedenti. Nei registri di Tronscan non ha inviato altri USDT da allora.
La segnalazione di un solo utente iPhone ha avviato l’indagine
Tutto ciò che collega questa ondata ai telefoni Apple risale a una sola persona. Quella vittima ha perso 16.428 USDT il 15 ottobre alle 07:29:48 UTC, e i TRX del wallet l’hanno seguita 12 secondi dopo, lasciando 0,04 TRX. Bitquery ha confrontato la segnalazione con la blockchain, poi ha seguito l’indirizzo collettore verso l’esterno per individuare gli altri wallet.
Il racconto della vittima è preciso. Il proprietario avrebbe aperto un video in Safari, toccato una pubblicità e sarebbe stato mandato su un’altra pagina. Il rapporto di cpa.rip citato da Bitquery sospetta un kit di attacco come DarkSword, una catena di exploit per iPhone nota. La società di sicurezza SlowMist, citata da Bitquery, sostiene che aprire una pagina trappola in Safari basti a infettare un telefono vulnerabile.
Bitquery non si spinge oltre. Dice di non poter confermare che il kit sia stato usato in questi furti e osserva che una blockchain non registra quale telefono, sistema operativo o app abbia usato una vittima. Per gli altri indirizzi svuotati, il registro pubblico mostra i trasferimenti, non come i ladri abbiano ottenuto le chiavi.
Bitquery cita anche un rapporto sul sito cpa.rip che conta 361 wallet Tron e 7,88 milioni di dollari su 66 collettori. Coindaro non è riuscita a trovare quel rapporto sul sito, quindi la cifra resta non verificata.
Perché l’etichetta zero-click non regge alle prove
Un attacco zero-click prende il controllo di un telefono senza alcuna azione del proprietario, di solito tramite un messaggio o una chiamata che il sistema elabora appena arrivano. Se una falla simile svuotasse davvero i wallet crypto degli iPhone aggiornati, il rischio per ogni possessore sarebbe di un altro ordine di grandezza.
Non è ciò che descrivono le fonti. iVerify, in un post sul blog dedicato alle pubblicità malevole che veicolano Coruna e DarkSword, usa il termine «half-click»: il telefono si infetta quando il contenuto della pubblicità si carica, senza bisogno di toccarla, ma la vittima deve comunque trovarsi su una pagina che la mostra. iVerify aggiunge che una falsa pagina di Polymarket, una delle destinazioni verso cui rimandavano gli annunci, poteva infettare un telefono vulnerabile con la sola visita. Anche l’articolo di CryptoSlate, al di là del titolo, non conferma una via zero-click. Dice che la maggior parte dei dispositivi e degli exploit dietro i furti conteggiati resta non identificata e che solo il furto del 15 ottobre è associato al proprietario di un iPhone.
La differenza conta per ciò che i lettori faranno dopo. Una catena half-click richiede una pagina malevola e un telefono non aggiornato. Con entrambi si può fare qualcosa. La falsa pagina di Polymarket è un caso distinto dal furto tramite lo script di un fornitore di Polymarket che abbiamo raccontato il 30 ottobre, passato da uno script di terze parti sul sito vero.
Coruna e DarkSword: due exploit kit per iPhone già corretti da Apple
Il Threat Intelligence Group di Google ha descritto DarkSword in un rapporto pubblicato il 18 marzo 2026. Il kit prende di mira iOS dalla 18.4 alla 18.7, è attivo da almeno novembre 2025 e viene distribuito tramite siti web: un sito esca a tema Snapchat, pagine di destinazione offuscate e siti ucraini compromessi, ciascuno dei quali carica l’exploit in un frame nascosto. È scritto interamente in JavaScript. Google lo ha collegato a tre gruppi: UNC6748, il fornitore turco di sorveglianza PARS Defense e UNC6353, un presunto gruppo di spionaggio russo, e tra i dati rubati elenca i «cryptocurrency wallet data», cioè i dati dei wallet crypto.
Il rapporto di Google elenca sei falle nella catena, con le versioni di iOS che le hanno corrette:
| Falla (secondo Google) | Corretta in |
|---|---|
| CVE-2025-31277 | iOS 18.6 |
| CVE-2025-43510 | iOS 18.7.2 e 26.1 |
| CVE-2025-43520 | iOS 18.7.2 e 26.1 |
| CVE-2025-43529 | iOS 18.7.3 e 26.2 |
| CVE-2025-14174 | iOS 18.7.3 e 26.2 |
| CVE-2026-20700 | iOS 26.3 |
Google afferma che tutte e sei erano state corrette con iOS 26.3, la maggior parte molto prima. Per i telefoni più vecchi, Bitquery nota che la versione iOS 18.7.7 di Apple cita DarkSword. La pagina delle versioni di sicurezza di Apple indica che iOS 26.3 è uscito l’11 febbraio 2026 e iOS 18.7.7 il 24 marzo e il 1° aprile, per modelli diversi. Da allora Apple ha rilasciato iOS 27.2, 26.7.2 e 18.7.11, tutte il 26 ottobre. Coruna è una catena più vecchia, rivolta a iOS dalla 13 alla 17, secondo SlowMist citata da Bitquery.
iVerify elenca le app di wallet che gli impianti cercano: Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink e Bitpie. I kit possono anche prelevare password, messaggi e contatti, e le varianti osservate da iVerify puntavano ai segreti del portachiavi. Trust Wallet spiega che cercano le frasi di recupero salvate in foto e note, una via che non richiede alcuna falla nell’app del wallet. iVerify descrive i tentativi di adattare i kit a iOS 26 e 27 come per lo più non funzionanti.
SEAL: sei furti da wallet iOS in una settimana, lontano dal totale su Tron
Un secondo conteggio indipendente arriva dalla Security Alliance (SEAL), le cui statistiche settimanali dal 28 ottobre al 3 novembre riportano sei segnalazioni di wallet crypto compromessi su iOS, contro quattro la settimana precedente. Le perdite sono state di circa 127.000 dollari, contro circa 434.000 dollari della settimana prima. Diverse vittime usavano Trust Wallet, una Uniswap Wallet, e la maggior parte si trovava in Russia, Ucraina e Kazakistan.
SEAL cita la società di scansione di internet Censys, secondo cui DarkSword e Coruna sono usati contro le app di wallet. Il suo rapporto non menziona Tron: conferma quindi che questo autunno esistono furti da wallet su iPhone, ma non il legame tra i kit e i 4,06 milioni di dollari di Bitquery.
Trust Wallet: nessuna falla nell’app, dice Bitquery
Il nome di Trust Wallet ha circolato su X con una perdita di 1,1 milioni di dollari che nessuna fonte alla base di questa storia conferma. Bitquery ha scoperto che tre dei 71 wallet svuotati che ha controllato su Ethereum, BNB Chain e Base avevano attivato la funzione di smart account EIP-7702 di Trust Wallet, e che un altro era collegato al contratto di MetaMask. La sua conclusione sull’app è breve: «We found no evidence of a flaw in the Trust Wallet app», ovvero non abbiamo trovato prove di una falla nell’app Trust Wallet. Bitquery ha precisato che, al 5 novembre, Trust Wallet non aveva rilasciato dichiarazioni pubbliche.
L’azienda ha pubblicato un proprio avviso il 6 novembre. «Apple has already fixed the flaws they use, so devices on the latest iOS version aren’t affected by them», ha scritto Trust Wallet a proposito di Coruna e DarkSword: Apple ha già corretto le falle che usano, quindi i dispositivi con l’ultima versione di iOS non ne sono colpiti. L’avviso non riporta versioni di iOS né numeri CVE e ricorda agli utenti che Trust Wallet non chiederà mai la frase di recupero. A chi nota attività insolite chiede di contattare l’assistenza con l’indirizzo del wallet e l’hash della transazione.
Cosa possono fare ora i possessori di wallet crypto su iPhone
I passaggi che seguono vengono da Google, iVerify, Trust Wallet e Bitquery. Nessuno richiede un servizio a pagamento.
- Aggiornare l’iPhone all’ultima versione di iOS che può eseguire. Google afferma che ogni falla di DarkSword era stata corretta con iOS 26.3; i modelli più vecchi ricevono iOS 18.7.7 o successive. Apple ha rilasciato versioni più recenti il 26 ottobre.
- Se il telefono non può essere aggiornato, attivare la modalità Isolamento (Lockdown Mode), suggerita sia da Google sia da Trust Wallet. iVerify la raccomanda a chi detiene somme elevate.
- Tenere la frase di recupero fuori da foto, screenshot, note e backup nel cloud. Sono i file che gli impianti cercano.
- Stare alla larga dai siti sconosciuti e non toccare pubblicità ignote, la via descritta dall’unica vittima nota.
- Se si pensa che il telefono sia compromesso, spostare subito i fondi su un nuovo wallet con una nuova frase di recupero, creato su un dispositivo pulito, e controllare ogni catena: una sola frase le apre tutte.
- iVerify consiglia inoltre di eseguire una scansione con la sua app gratuita iVerify Basic, di riavviare il telefono e di cambiare le password salvate nel portachiavi.
Chi ha saldi elevati può anche tenere le chiavi del tutto fuori dal telefono. Un hardware wallet firma le transazioni su un dispositivo separato, quindi un malware sull’iPhone non può leggere le parole di recupero; la nostra guida passo passo alla configurazione di un hardware wallet spiega come fare.
Si possono recuperare gli USDT rubati?
A volte, e solo se Tether interviene prima che i fondi si spostino. Tether può congelare gli USDT detenuti a un dato indirizzo, e lo ha fatto per altri 32 indirizzi Tron a fine ottobre, come abbiamo raccontato il 29 ottobre. Nulla collega quel congelamento a questo caso. Nessuna fonte che abbiamo trovato mostra un congelamento, un CVE o una dichiarazione di Apple legati ai 43 collettori.
Le vittime possono segnalare il furto a Tether e a ogni exchange raggiunto dai fondi, indicando gli hash delle transazioni. Le offerte di «recupero» a pagamento che compaiono dopo un furto pubblico è meglio ignorarle.
Questioni aperte: exploit, app e versioni di iOS
Quale exploit, quali app di wallet e quali versioni di iOS siano coinvolti nei furti su Tron è ignoto. Solo una vittima è legata a un iPhone. Che i 43 collettori appartengano a un unico gruppo non è provato. La cifra di 7,88 milioni di dollari attribuita a cpa.rip non è verificata, TON non è stata misurata e circa 175.000 dollari di pagamenti NEAR Intents restano senza fonte tracciata.
I prossimi fatti utili verranno dalle vittime. Ogni nuovo furto che si possa associare a un dispositivo e a una versione di iOS metterebbe alla prova l’ipotesi iPhone un caso alla volta, e un eventuale congelamento di Tether sul wallet delle commissioni o sul collettore più grande comparirebbe su Tronscan il giorno stesso.