Come vengono svuotati i wallet crypto su un Mac, e come impedirlo.

1Dove gli stealer cercano la tua frase di recupero

Gli stealer per Mac puntano dritti ai wallet. Atomic (AMOS) prende di mira circa 50 estensioni wallet per browser e wallet desktop come Electrum ed Exodus, oltre al Portachiavi e ai file sulla Scrivania e in Documenti (BleepingComputer, 2023). MacSync, diffuso con comandi incollati nel Terminale nel 2025 e nel 2026, prende le frasi di recupero dei wallet crypto insieme al Portachiavi (The Hacker News, 16 marzo 2026).

Quindi una frase di recupero scritta in Note, salvata come file .txt, conservata come screenshot o inviata a te stesso per email è a una ricerca di distanza per qualsiasi stealer che giri sul Mac, anche solo per un minuto.

2Trova le frasi che hai lasciato sul Mac

Questi comandi elencano i file sul Mac il cui testo contiene le parole che si scrivono accanto a una frase. Cercano soltanto; non aprono né inviano nulla:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Controlla anche i tuoi screenshot: in Foto, cerca «frase di recupero», «seed» o «wallet»; Foto trova il testo dentro le immagini. Elimina ciò che trovi dopo aver copiato la frase su carta, poi svuota il Cestino e l'album Eliminati di recente.

3Appunti scambiati

Un clipper sorveglia i tuoi appunti. Quando copi qualcosa che sembra un indirizzo crypto, lo sostituisce con un indirizzo dell'attaccante dello stesso tipo, quindi ciò che incolli non è ciò che hai copiato.

L'abitudine che lo ferma: dopo aver incollato, confronta l'indirizzo intero, non solo i primi e gli ultimi caratteri, con quello che volevi usare. Su un hardware wallet, confrontalo sullo schermo del dispositivo prima di confermare.

4Address poisoning: il sosia nella tua cronologia

Gli attaccanti inviano importi minuscoli da indirizzi che iniziano e finiscono come quelli che hai già usato, così un sosia finisce nella tua stessa cronologia. Copia dalla cronologia una volta e il denaro va a loro.

Funziona: due persone hanno perso oltre 62 milioni di dollari in questo modo tra dicembre 2025 e gennaio 2026, una circa 50 milioni e l'altra 12,2 milioni, la seconda dopo aver copiato un indirizzo dalla cronologia delle transazioni (Cointelegraph sui dati di Scam Sniffer, 9 febbraio 2026).

È successo anche a MLX: subito dopo che MLX ha spostato i suoi fondi su nuovi cold wallet il 2 novembre 2026, indirizzi simili hanno iniziato a inviargli polvere su Solana e BNB Chain.

• Non copiare mai un indirizzo dalla cronologia delle transazioni.
• Salva come contatti gli indirizzi a cui invii spesso, e sceglili da lì.
• Ignora gli importi minuscoli in arrivo da indirizzi che non conosci. Non rimandarli indietro.
• Invia prima una piccola prova a qualsiasi indirizzo nuovo, e controlla che sia arrivata.

5Un controllo del wallet in cinque minuti

1. Cerca sul Mac le frasi scritte (con i comandi qui sopra) e controlla i tuoi screenshot.
2. Apri la pagina delle estensioni del browser. Tieni solo i wallet che hai installato tu, dal link del produttore stesso; rimuovi tutto ciò che non riconosci.
3. Controlla che macOS sia aggiornato: Impostazioni di Sistema → Generali → Aggiornamento Software.
4. Sulle chain EVM, rivedi le vecchie autorizzazioni dei token che non ti servono più e revocale, per esempio con Revoke.cash.
5. Se hai mai incollato nel Terminale un comando da una pagina web, fai anche il controllo del Mac.

6Se il tuo wallet è stato svuotato

1. Sposta quello che resta in un wallet nuovo creato su un dispositivo pulito, con una nuova frase di recupero. Non riutilizzare mai la vecchia frase.
2. Cambia le password della tua email e dei tuoi account sugli exchange da quel dispositivo pulito, e attiva l'autenticazione a due fattori.
3. Se i fondi sono finiti su un indirizzo di deposito di un exchange, segnalalo subito a quell'exchange con l'ID della transazione.
4. Un trasferimento su blockchain non si può annullare. Chi si offre di recuperare le tue criptovalute in cambio di una commissione sta mettendo in piedi una seconda truffa.

7Domande

Il mio wallet è stato svuotato. Cosa faccio?

Sposta quello che resta in un wallet nuovo creato su un dispositivo pulito, con una nuova frase di recupero, e da quel dispositivo cambia le password dell'email e degli exchange. Se i fondi sono finiti su un exchange, segnala l'ID della transazione a quell'exchange. Poi capisci come è trapelata la frase prima di usare di nuovo il Mac per le crypto.

Cos'è l'address poisoning?

Gli attaccanti inviano importi minuscoli da indirizzi che somigliano a quelli che hai usato, così un sosia compare nella tua cronologia. Se copi dalla cronologia, invii a loro. Succede su ogni chain, comprese Ethereum, BNB Chain, Tron e Solana. Scegli invece gli indirizzi dai contatti salvati.

Dove devo conservare la mia seed phrase?

Su carta o metallo, offline, in due posti separati. Mai in Note, in un file di testo, in uno screenshot, in una foto, in un'email o in un cloud. Per importi maggiori, usa un hardware wallet così le chiavi non toccano mai il computer.

È sicuro tenere la frase di recupero in un gestore di password?

È molto meglio di una nota o di uno screenshot, ma resta sul computer: uno stealer che gira con il tuo utente a volte può raggiungerla. Per tutto ciò che non puoi permetterti di perdere, tieni la frase offline.

Le criptovalute rubate si possono recuperare?

Di solito no: un trasferimento su blockchain è definitivo. Se è finito su un exchange, quell'exchange potrebbe congelarlo se lo segnali in fretta. Ignora chiunque offra un recupero in cambio di una commissione.