Il malware SparkKitty scansiona le librerie fotografiche di iPhone e Android alla ricerca di frasi di recupero (seed phrase, la sequenza di parole che da sola garantisce accesso a un wallet Bitcoin) salvate come screenshot. Individuato per la prima volta da Kaspersky (azienda russa di cybersecurity) a giugno 2025, il malware è stato oggetto di una nuova analisi di Check Point pubblicata il 27 luglio 2026 e ripresa da Decrypt. Per chi conserva Bitcoin in autocustodia è un promemoria diretto: una singola foto della propria seed phrase può bastare a perdere l’intero saldo.
Come Funziona SparkKitty
SparkKitty utilizza il riconoscimento ottico dei caratteri (OCR, la tecnologia che estrae testo leggibile dalle immagini) per analizzare ogni foto presente sul dispositivo infetto e individuare frasi di recupero, password e codici QR di wallet crypto. Una volta trovati dati sensibili, il malware li carica silenziosamente su server controllati dagli aggressori, secondo quanto riportato da Decrypt. A differenza dei malware “clipboard hijacker” (che sostituiscono l’indirizzo Bitcoin copiato negli appunti prima di un invio), SparkKitty non richiede alcuna azione della vittima oltre ad avere una foto salvata: basta che la seed phrase sia stata fotografata anche mesi prima dell’infezione.
Dove si è Diffuso: App Store e Google Play
Il malware si è infiltrato in entrambi gli store ufficiali prima di essere rimosso. Sull’Apple App Store era incorporato in un’app a tema crypto chiamata “Bcoin”; su Google Play si nascondeva in “SOEX”, un’app di messaggistica ed exchange che ha superato le 10.000 installazioni prima della rimozione, secondo l’analisi ripresa anche da Crypto.news. Il malware circola anche tramite falsi cloni di TikTok, app di gioco e APK caricati manualmente (sideload) fuori dagli store ufficiali, ampliando la superficie d’attacco oltre i canali sorvegliati da Apple e Google.
| App infetta | Store | Camuffata da | Diffusione nota |
|---|---|---|---|
| Bcoin | Apple App Store | App a tema crypto | Rimossa dopo la scoperta |
| SOEX | Google Play | Messaggistica / exchange | 10.000+ download prima della rimozione |
| Cloni TikTok, app gioco, APK sideload | Store di terze parti | App di intrattenimento | Diffusione stimata “significativa” |
Non è la prima volta che un malware prende di mira direttamente i wallet Bitcoin: a giugno BitcoinLive24 aveva già raccontato il caso di un wallet Bitcoin falso pubblicato sull’App Store, costato ad Apple una causa da 1,8 milioni di dollari. Il pattern che emerge è chiaro: gli store ufficiali restano un canale di distribuzione appetibile per chi prende di mira i possessori di Bitcoin.
Perché una Foto della Seed Phrase è il Rischio più Grave per un Possessore di Bitcoin
In Bitcoin l’autocustodia funziona su un principio semplice: chi controlla la seed phrase controlla i fondi, senza intermediari e senza possibilità di recupero da parte di un’azienda o di un exchange. Check Point, citata da Decrypt, ha sottolineato che una sola frase di recupero è sufficiente per svuotare un wallet, e che il rischio più alto riguarda proprio chi la conserva come screenshot o foto invece che offline. A differenza di una password di un servizio online, non esiste un “recupero account” per un wallet Bitcoin: chi ottiene la seed phrase ottiene i fondi in modo definitivo e irreversibile.
Come Riconoscere un’App a Rischio
Alcuni segnali aiutano a individuare app sospette prima dell’installazione: richieste di permesso alla libreria fotografica non giustificate dalla funzione dichiarata dell’app, recensioni recenti che segnalano comportamenti anomali, sviluppatori senza cronologia verificabile e app crypto scaricate da link esterni invece che dalla ricerca diretta nello store. Utile anche controllare, nelle impostazioni del telefono, quali app hanno già accesso alla libreria foto: se un’app di messaggistica o di gioco lo richiede senza un motivo evidente, il permesso va revocato. Nessuna di queste cautele sostituisce la regola di fondo: la seed phrase non va mai fotografata, indipendentemente dalle app installate sul telefono.
Cosa Significa per gli Investitori Bitcoin
Per chi usa BitcoinLive24 come riferimento quotidiano, la lezione pratica è concreta: mai fotografare o fare screenshot della propria seed phrase. Le alternative sicure includono la trascrizione su carta conservata offline, i backup metallici resistenti al fuoco e all’acqua, e permessi ridotti alla libreria foto solo per le app che ne hanno reale necessità operativa. Scaricare app solo da sviluppatori verificati e con cronologia pubblica resta la prima barriera contro varianti future dello stesso schema d’attacco.
Prospettive
Gli analisti di sicurezza si aspettano nuove varianti di malware basate su OCR, dato il basso costo di sviluppo per gli aggressori e l’ampia superficie d’attacco offerta dagli store mobile globali. Finché i processi di revisione di Apple e Google non intercettano sistematicamente queste app camuffate, la protezione resta in larga parte nelle mani dei singoli possessori di Bitcoin, per cui l’igiene digitale sulla seed phrase diventa una competenza di base tanto quanto la scelta del wallet.
Continua a seguire gli aggiornamenti su sicurezza e autocustodia nella sezione Tecnologia di BitcoinLive24. Scarica l’app di BitcoinLive24 per non perdere le prossime notizie su minacce e best practice di sicurezza per il tuo Bitcoin.
FAQ
Cos’è SparkKitty?
SparkKitty è un malware che scansiona le foto dello smartphone con tecnologia OCR per individuare e rubare le seed phrase dei wallet Bitcoin e crypto, scoperto da Kaspersky a giugno 2025 e riportato in una nuova analisi di Check Point il 27 luglio 2026.
Quali app erano infette da SparkKitty?
“Bcoin” sull’Apple App Store e “SOEX” su Google Play, quest’ultima con oltre 10.000 download, oltre a cloni di TikTok e app di gioco distribuite fuori dagli store ufficiali.
È sicuro conservare la seed phrase Bitcoin come screenshot?
No: una foto o uno screenshot della seed phrase è il formato più vulnerabile, perché malware come SparkKitty scansionano proprio la libreria foto del telefono per individuarle.
Come proteggo la mia seed phrase Bitcoin?
Scrivila su carta o supporto metallico conservato offline, mai in foto o su cloud, limita i permessi delle app alla libreria fotografica e installa app solo da sviluppatori verificati.
Il malware SparkKitty è ancora attivo nel 2026?
Sì: la scoperta iniziale risale a giugno 2025, ma la nuova analisi di Check Point del 27 luglio 2026 conferma che varianti dell’app continuano a comparire su store ufficiali e di terze parti.
Questo articolo non costituisce consulenza finanziaria.
