Il caso di BlockBlasters solleva dubbi sulla sicurezza di Steam: un crypto stealer nascosto nel gioco ha colpito centinaia di utenti.
La sicurezza nel mondo del gaming digitale è di nuovo sotto accusa. Questa volta il campanello d’allarme arriva direttamente da Steam, la piattaforma di distribuzione di Valve, che ha rimosso dal proprio catalogo un videogioco infetto da malware.
Il titolo in questione si chiama BlockBlasters, ed è stato protagonista di uno dei più gravi episodi di furto di criptovalute legati a un videogioco distribuito su un marketplace ufficiale.
BlockBlasters: il videogioco trappola che ha colpito utenti ignari
All’apparenza, BlockBlasters sembrava un innocuo platform 2D free-to-play, pubblicato da un editore sconosciuto chiamato Genesis Interactive. Con più di 200 recensioni “molto positive”, il gioco si era guadagnato la fiducia della community. Tuttavia, dietro l’interfaccia semplice e colorata si nascondeva un crypto stealer, una tipologia di malware progettato per prosciugare i wallet digitali degli utenti.
Secondo l’analisi condotta da vx-underground, uno dei gruppi di sicurezza più attivi nel monitoraggio delle minacce informatiche legate al gaming, il malware è stato introdotto tramite un aggiornamento rilasciato il 30 agosto 2025. Una volta installato, il gioco attivava un cryptodrainer capace di sottrarre chiavi private e dati sensibili da browser e file locali, agendo in silenzio mentre l’utente giocava.
Il bilancio è drammatico: oltre 150.000 dollari in criptovalute rubati. Tra le vittime più note, lo streamer lettone Raivo Plavnieks, conosciuto online come Rastaland.TV, che ha dichiarato di aver perso 32.000 dollari, denaro raccolto per finanziare cure mediche legate a un cancro al quarto stadio. Il suo sfogo pubblico ha amplificato la portata del caso, generando indignazione e richieste di chiarimenti nei confronti di Valve.
Il malware e la campagna di spearphishing mirata agli investitori in criptovalute
Dietro il successo iniziale del gioco si nascondeva una strategia ben studiata di social engineering. I criminali hanno avviato una vera e propria campagna di spearphishing rivolta a utenti noti per detenere wallet cripto sostanziosi. Secondo vx-underground, gli autori del malware hanno scandagliato la piattaforma X (ex Twitter) alla ricerca di utenti che parlavano apertamente dei propri investimenti in Bitcoin, Ethereum e altre altcoin.
Una volta individuati, questi utenti venivano contattati in privato con proposte “professionali”: promuovere il gioco in cambio di compensi economici. Una trappola perfetta per content creator e piccoli influencer del mondo cripto e gaming. Diversi streamer hanno così scaricato BlockBlasters, inconsapevoli di diventare vettori involontari dell’infezione.
Il gioco è rimasto disponibile su Steam per quasi due mesi, dal 30 luglio al 21 settembre 2025, mietendo vittime fino alla sua rimozione definitiva da parte di Valve. Il fatto che un’applicazione infetta sia rimasta online così a lungo ha acceso i riflettori sull’efficacia dei controlli di sicurezza del marketplace di Steam, considerato fino a oggi un punto di riferimento per la distribuzione videoludica sicura.
Valve sotto pressione: cosa dice la piattaforma e quali sono i precedenti
Al momento, Valve non ha ancora rilasciato una dichiarazione ufficiale sull’accaduto. L’azienda si è limitata a rimuovere BlockBlasters dal catalogo senza fornire ulteriori spiegazioni agli utenti. Nessuna informazione è stata divulgata sulla possibile assunzione di responsabilità per i danni subiti, né sulle eventuali azioni preventive future per evitare casi simili.
Non è però la prima volta che Steam ospita software dannoso. Già nel marzo scorso, la piattaforma aveva rimosso la demo di un gioco chiamato Sniper: Phantom’s Resolution, anch’esso risultato infetto. Sebbene i controlli su Steam siano ritenuti più rigidi rispetto ad altri marketplace, come il Play Store di Android, gli sviluppatori possono comunque sfruttare gli aggiornamenti post-lancio per introdurre codice malevolo, eludendo temporaneamente le verifiche automatizzate.
Questo caso evidenzia un limite strutturale: il sistema di controllo non è continuo, ma si basa principalmente sulla prima approvazione del contenuto. Se uno sviluppatore malevolo agisce dopo la pubblicazione, ha una finestra di tempo per colpire indisturbato.
L’industria dei videogiochi è ora un vettore preferito per gli attacchi malware
Il mondo del videogame, sempre più connesso e integrato con sistemi di pagamento digitali, sta diventando un bersaglio privilegiato per i cybercriminali. La possibilità di ottenere accesso a wallet digitali, NFT, account di scambio o dati finanziari ha reso i giochi un cavallo di Troia ideale per veicolare malware sofisticati come crypto stealers, infostealer o trojan personalizzati.
Il caso di BlockBlasters segna un punto di non ritorno: l’infezione non arriva più solo tramite app sconosciute o file pirata, ma anche tramite marketplace legittimi come Steam. Questo implica un cambio di paradigma: non basta più fidarsi della piattaforma, è necessario che anche gli utenti e gli influencer adottino pratiche più attente, verificando gli sviluppatori e i permessi richiesti dai giochi.
Il rischio è che la fiducia degli utenti venga minata in modo profondo e duraturo. Con la diffusione sempre maggiore di asset digitali e wallet integrati nei profili utente, il confine tra gaming e finanza si fa sempre più sottile, e con esso aumentano le superfici d’attacco.
La vicenda BlockBlasters mette a nudo una nuova vulnerabilità della cultura digitale contemporanea: la fiducia cieca nei marketplace ufficiali. Mentre gli attacchi diventano sempre più sofisticati e mirati, anche le piattaforme leader del settore dovranno ripensare i propri protocolli di sicurezza, pena la perdita di credibilità. In un’epoca in cui giocare significa anche esporsi economicamente, la sicurezza non può essere un optional.