Una campagna di phishing crypto con AI capace di incrociare quasi 900mila numeri di telefono con i dati di migliaia di account su exchange reali è stata appena smascherata da Rapid7. L’azienda di cybersicurezza ha battezzato l’operazione Operation ASTERIX, un’infrastruttura fraudolenta che univa email, telefonate e applicazioni wallet contraffatte per rubare le frasi di recupero dei portafogli in criptovalute. A far scattare la scoperta è stato un server mal configurato, lasciato aperto a chiunque sapesse dove guardare.
Summary
Punti chiave
- Rapid7 ha scoperto Operation ASTERIX, una campagna di phishing crypto con AI che combinava email, chiamate vocali e wallet falsi.
- Sono stati collegati all’operazione circa 885.000 numeri di telefono, tra cui 316.002 numeri mobili tedeschi.
- Dal dataset tedesco gli attaccanti hanno individuato 43.066 account Crypto.com potenzialmente attivi.
- La campagna imitava brand come Crypto.com, Binance, Trezor Suite, Ledger Live ed Exodus.
- Gli operatori hanno usato strumenti come GitHub Copilot e Claude Code per costruire il codice malevolo.
Rapid7 scopre la campagna phishing crypto con AI Operation ASTERIX
Rapid7 ha individuato Operation ASTERIX analizzando un’infrastruttura ancora parzialmente attiva, un dettaglio che ha permesso ai ricercatori di osservare da vicino il funzionamento interno di una frode crypto in corso. La scoperta è arrivata grazie a un server esposto pubblicamente, che conteneva dataset telefonici, strumenti di validazione account, email di phishing pronte all’uso e applicazioni wallet contraffatte per macOS e Windows.
Portata dell’operazione: quasi 900mila numeri di telefono
La scala dei dati raccolti è il primo elemento che colpisce. Rapid7 ha rintracciato circa 885.000 numeri di telefono distribuiti su più dataset collegati all’operazione. Il gruppo più consistente era composto da 316.002 numeri mobili tedeschi, usati insieme ad Asterisk, una piattaforma di telefonia open source, per condurre chiamate di vishing, cioè telefonate ingannevoli pensate per estorcere informazioni sensibili.
Dal dataset tedesco gli attaccanti hanno estratto 43.066 account Crypto.com ritenuti attivi, incrociando i numeri con controlli automatizzati sull’exchange. Secondo quanto documentato, il tasso di riscontro su questi controlli si aggirava attorno al 13,6%, il che significa che circa uno su sette numeri testati corrispondeva effettivamente a un account funzionante. Se lo stesso tasso venisse applicato all’intero database di 885.000 numeri, il bacino di utenti potenzialmente identificabili supererebbe le 120.000 unità: un’esposizione che mette in luce quanto possano essere fragili i meccanismi di verifica automatica offerti dagli exchange.
Tecniche di phishing: brand imitati e wallet falsi
La forza di Operation ASTERIX non stava solo nella quantità di dati, ma nella precisione con cui venivano usati per rendere credibile il contatto con la vittima. Una volta identificato un potenziale target, la catena d’attacco proseguiva con email personalizzate e telefonate di supporto false, coordinate tra loro per sembrare comunicazioni legittime da parte dell’exchange o del produttore del wallet.
Da Crypto.com a Binance, Trezor e Ledger
L’infrastruttura di phishing imitava direttamente brand noti del settore come Crypto.com e Binance. In parallelo, gli operatori mantenevano applicazioni contraffatte che replicavano l’aspetto di software come Trezor Suite, Ledger Live ed Exodus, tre nomi centrali nella gestione dei portafogli hardware e software per criptovalute.
App wallet contraffatte per macOS e Windows
Rapid7 ha recuperato versioni di queste app pensate per funzionare su entrambi i principali sistemi operativi desktop, macOS e Windows. Le applicazioni false chiedevano alle vittime di inserire la propria frase di recupero, la sequenza di 12 o 24 parole che dà accesso completo a un wallet crypto. Una volta digitata, la frase veniva sottratta ed esfiltrata attraverso Telegram, rendendo il furto pressoché immediato e difficile da rintracciare.
Il ruolo degli strumenti AI nello sviluppo della campagna
Quello che distingue Operation ASTERIX da una tradizionale truffa di phishing è l’uso sistematico di strumenti di intelligenza artificiale per costruire l’infrastruttura stessa dell’attacco. Non si tratta di un dettaglio marginale: segnala come il phishing crypto con AI stia diventando una modalità operativa concreta, non solo un rischio teorico discusso dagli esperti di sicurezza.
GitHub Copilot, Claude Code e il tentativo di eludere i limiti
Rapid7 ha trovato prove che gli operatori usavano GitHub Copilot e Claude Code per scrivere codice, gestire script, elaborare dati e mantenere l’infrastruttura tecnica della campagna, inclusa la creazione delle app wallet false. In un passaggio particolarmente rivelatore, i ricercatori hanno documentato un tentativo di far scrivere a Claude codice destinato a offuscare le tracce dell’attacco: il modello ha rifiutato la richiesta, applicando le proprie protezioni interne. L’operatore ha allora provato a passare a Kimi, un altro strumento AI, nel tentativo di superare quelle restrizioni.
Rapid7 non è riuscita a confermare se il tentativo di bypass sia effettivamente riuscito. Quello che resta documentato è comunque significativo: gli aggressori hanno reagito al rifiuto di un modello AI cercandone semplicemente un altro meno restrittivo, un comportamento che mostra quanto sia diventato normale, nel crimine informatico, affidarsi a più strumenti di intelligenza artificiale in parallelo. Tra le tracce più insolite recuperate dal server compare anche un installer contraffatto di Claude Code, configurato per installare un’applicazione wallet malevola insieme al software legittimo, sfruttando così la fiducia riposta in uno strumento AI reale.
La risposta di Rapid7 e i rischi per gli utenti crypto
Dopo aver documentato l’attività, Rapid7 ha notificato l’accaduto ai provider coinvolti e alle autorità competenti, incluso il team di sicurezza di Apple, viste le app contraffatte pensate anche per macOS. Il report è stato pubblicato il 17 agosto 2026.
Cosa rischiano davvero i possessori di crypto
I registri di attività recuperati dal server mostravano un’operazione ancora relativamente contenuta nei numeri concreti di contatto: circa venti verifiche di potenziali vittime e sei email di phishing inviate in un arco di circa due settimane. Ma è proprio qui che sta il punto: l’infrastruttura era pronta a scalare enormemente, avendo a disposizione centinaia di migliaia di numeri già validati e strumenti automatizzati per moltiplicare i contatti in poco tempo.
Per gli exchange, l’episodio pone una domanda diretta su quanto siano robusti i sistemi di verifica automatica degli account: un tasso di riscontro del 13,6% significa che l’endpoint utilizzato per i controlli restituiva segnali sufficientemente chiari da permettere agli attaccanti di costruire liste di target attendibili. Per chi possiede crypto, resta il monito più concreto: nessuna app, email o telefonata di supporto dovrebbe mai richiedere l’inserimento della frase di recupero del proprio wallet, indipendentemente da quanto sembri autentica la fonte del contatto.
FAQ
Cos’è Operation ASTERIX?
Operation ASTERIX è una campagna di phishing crypto con AI scoperta da Rapid7, che utilizzava dati telefonici, strumenti di validazione degli account e applicazioni wallet false per sottrarre le frasi di recupero delle criptovalute.
Come individuavano i bersagli gli attaccanti?
Gli attaccanti usavano ampi dataset telefonici e strumenti di validazione automatizzati per collegare i numeri a account attivi su exchange di criptovalute, arrivando a identificare oltre 43.000 account Crypto.com solo dal dataset tedesco.
Che ruolo hanno avuto gli strumenti AI nella campagna di phishing?
Assistenti di codice basati su intelligenza artificiale come GitHub Copilot e Claude Code sono stati impiegati per scrivere codice, gestire script, creare le applicazioni contraffatte e mantenere l’infrastruttura tecnica dell’operazione.
Cosa è successo dopo la scoperta di Operation ASTERIX?
Rapid7 ha notificato provider e autorità competenti, incluso il team di sicurezza di Apple, per limitare i danni e contrastare l’operazione dopo aver documentato l’attività.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
