Sicurezza e truffe

Perché in crypto la sicurezza pesa di più

In una guida precedente abbiamo visto che le transazioni in criptovaluta sono irreversibili. È proprio questa caratteristica a rendere il settore così appetibile per i truffatori: quando i fondi escono dal tuo wallet, non c'è una banca a cui telefonare per bloccarli, non esiste uno storno, e l'indirizzo che li ha ricevuti è quasi sempre impossibile da ricondurre a una persona. Chi ti deruba, nella maggioranza dei casi, sparisce con il bottino.

Questo cambia il modo di ragionare. Nel mondo tradizionale la sicurezza è in gran parte delegata a qualcun altro, la banca o il circuito della carta, che possono intervenire dopo un problema. In crypto la prima e spesso unica linea di difesa sei tu. La buona notizia è che quasi tutte le truffe seguono schemi ricorrenti, e una volta che li conosci diventano sorprendentemente facili da smascherare.

Una premessa conta più di ogni altra, e la mettiamo subito.

La regola che viene prima di tutte

La tua seed phrase, e con lei le tue chiavi private, non va condivisa con nessuno. Mai. In nessuna circostanza.

Nessun exchange, nessun servizio di assistenza, nessun amministratore, nessun "tecnico" che ti contatta per aiutarti te la chiederà mai. Chi te la domanda sta cercando di derubarti, senza eccezioni. Non esiste un solo motivo legittimo per cui qualcuno debba conoscere le tue parole di recupero: servono unicamente a prendere il controllo dei tuoi fondi.

Allo stesso modo, insospettisciti davanti a qualunque sito o app che ti chieda di inserire la seed per "verificare", "sincronizzare" o "sbloccare" il wallet. È la trappola più comune in assoluto.

Tieni questa regola come bussola. Tutto il resto della guida, in fondo, racconta i modi in cui i truffatori provano ad aggirarla.

Le truffe più diffuse

Falsi investimenti e relazioni costruite a tavolino

Le perdite più ingenti, ancora oggi, nascono da false opportunità di investimento. Lo schema è collaudato: ti viene presentata una piattaforma dall'aspetto professionale, con grafici in tempo reale e un pannello che mostra i tuoi guadagni salire. All'inizio riesci persino a prelevare piccole somme, e questo ti convince a versarne di più consistenti. Quando provi a ritirare il capitale, però, la piattaforma si inceppa, pretende commissioni o tasse inventate per "liberare" i fondi, e alla fine svanisce con tutto.

Una variante particolarmente insidiosa parte da una relazione. Qualcuno ti contatta sui social o su un'app di incontri, costruisce con pazienza un legame di amicizia o sentimentale per settimane, e solo dopo aver conquistato la tua fiducia ti propone di investire insieme su una piattaforma che si rivelerà falsa. Questo copione, noto in inglese come pig butchering, è oggi tra le truffe più devastanti proprio perché lavora sulle emozioni prima ancora che sul portafoglio.

Il campanello qui è netto: chiunque tu abbia conosciuto online e ti indirizzi verso una specifica piattaforma di investimento va considerato a priori un truffatore. E ricorda che nessun investimento serio promette rendimenti fissi o garantiti, perché il rischio fa parte del gioco.

Phishing e wallet drainer

Molte truffe non rubano la password: ti convincono a firmare con le tue stesse mani. Capiti su una pagina che sembra un airdrop, un mint di NFT, un sito ufficiale o uno strumento di "migrazione". Colleghi il wallet, approvi quella che pare una normale transazione e in realtà concedi a un contratto malevolo il permesso di prelevare i tuoi token. Da quel momento può svuotarti anche giorni dopo, quando ormai te ne sei dimenticato.

La parte insidiosa è che la schermata di approvazione somiglia a tante altre che hai già accettato senza pensarci. Per difenderti, leggi sempre cosa stai autorizzando, insospettisciti se un sito chiede l'approvazione prima ancora di spiegarti cosa otterrai, e ogni tanto revoca i permessi che hai concesso e non usi più, una pulizia che si esegue con appositi strumenti collegati al wallet.

Avvelenamento degli indirizzi

Questa tecnica sfrutta un'abitudine pigra molto comune, copiare gli indirizzi dalla cronologia. Il truffatore ti invia una transazione minuscola da un indirizzo creato apposta per somigliare a uno che usi spesso, magari con le stesse cifre iniziali e finali. La volta successiva, copiando "al volo" dalla cronologia, rischi di prendere il suo e di mandargli i fondi.

La contromisura è noiosa ma efficace: non copiare mai un indirizzo dalla cronologia delle transazioni. Affidati alla rubrica del wallet per i contatti salvati, oppure incolla l'indirizzo dalla fonte originale, e controlla l'intera stringa, non solo i primi caratteri. Per cifre rilevanti, vale sempre la pena fare prima un piccolo invio di prova.

Impersonazione e deepfake

I truffatori amano travestirsi da qualcuno di cui ti fidi. Possono spacciarsi per l'assistenza di un exchange, per un influencer noto o per un amico con l'account violato. I messaggi arrivano urgenti e autorevoli, calibrati per spingerti ad agire prima di riuscire a verificare.

Con l'intelligenza artificiale questi inganni sono diventati molto più credibili. Girano video e audio falsi di personaggi famosi che promuovono finti regali di criptovalute o "soluzioni d'emergenza", e dirette clonate che imitano piattaforme reali. Se un personaggio pubblico sembra regalare crypto in cambio di un piccolo invio iniziale, è una truffa, sempre. Verifica ogni annuncio dai canali ufficiali, e tieni a mente che oggi un video convincente non è più una prova di autenticità.

App ed exchange falsi

Esistono copie quasi perfette di exchange e wallet conosciuti: stesso logo, stessa grafica, nome leggermente diverso. Accettano i tuoi depositi e poi bloccano i prelievi, oppure si limitano a sottrarti le credenziali o la seed. Compaiono perfino negli store ufficiali, sotto forma di app fasulle che imitano i wallet veri.

Scarica i programmi solo dai siti e dagli store ufficiali, controllando con cura l'indirizzo del sito e il nome esatto dell'app e dello sviluppatore. Una lettera fuori posto nel dominio è spesso l'unico indizio della trappola.

Rug pull e honeypot

Nel mondo dei nuovi token capita che gli sviluppatori lancino una moneta, la gonfino di promesse sui social per attirare liquidità e poi spariscano svuotando il fondo, lasciando agli acquirenti un token che vale zero. È il cosiddetto rug pull, letteralmente "tirare via il tappeto". In una variante detta honeypot, il contratto ti lascia comprare il token ma ti impedisce tecnicamente di rivenderlo.

Diffida dei progetti con team anonimi, rendimenti mirabolanti e nessun prodotto reale alle spalle. La fretta indotta, come "solo per 24 ore" o "stanno entrando tutti", fa quasi sempre parte della messinscena.

Le truffe del recupero fondi

Ne esiste una particolarmente crudele, che prende di mira chi è già stato truffato. Spuntano sedicenti "esperti del recupero" che promettono di riportare indietro i soldi persi, in cambio di un pagamento anticipato. Una volta incassata la cifra, svaniscono a loro volta. Praticamente ogni servizio che chiede denaro in anticipo per recuperare crypto rubate è a sua volta una truffa.

I segnali d'allarme che valgono sempre

Al di là della forma specifica, quasi tutti gli inganni condividono gli stessi campanelli. Se ne riconosci anche uno soltanto, fermati:

• Ti promettono rendimenti garantiti, fissi o "senza rischio". Non esistono.

• Ti mettono fretta. L'urgenza serve a non darti il tempo di controllare.

• Ti contattano loro, senza che tu abbia chiesto nulla.

• Ti chiedono la seed phrase, le chiavi private o di "validare" il wallet.

• Ti invitano a spostare fondi per "metterli al sicuro" o a pagare una commissione per sbloccarne altri.

• L'offerta è troppo bella per essere vera. Quasi sempre lo è.

Le buone abitudini che fanno la differenza

Difendersi non richiede competenze tecniche particolari, ma costanza. Poche abitudini eliminano gran parte dei rischi:

• Usa un hardware wallet per le somme importanti. Mostra l'indirizzo sul proprio schermo, che un malware sul computer non può alterare.

• Tieni i risparmi su un wallet separato da quello con cui sperimenti e ti colleghi ai siti.

• Verifica per intero l'indirizzo del destinatario prima di inviare, e fai un invio di prova con una piccola somma.

• Attiva l'autenticazione a due fattori sugli exchange, preferendo un'app dedicata o una chiave fisica agli SMS, vulnerabili al furto del numero di telefono.

• Rivedi e revoca con regolarità i permessi concessi ai contratti che non usi più.

• Scarica wallet e applicazioni solo dai canali ufficiali, ricontrollando indirizzi e nomi.

• Mantieni aggiornati wallet, browser e sistema operativo.

• Concediti sempre un minuto in più prima di confermare. In crypto, quel minuto vale spesso più di ore di ricerche fatte dopo aver perso i fondi.

Se ti è già successo

Capita anche a persone esperte, e non è una colpa. Se sospetti di essere finito in una truffa, interrompi subito ogni contatto con chi ti sta manipolando e non inviare altro denaro, qualunque pretesto ti venga offerto per "recuperare" il resto. Se hai approvato un permesso sospetto, revocalo e sposta i fondi rimasti su un wallet nuovo e sicuro. Conserva ogni prova, dai messaggi agli indirizzi ai codici delle transazioni, e segnala l'accaduto alle autorità competenti e alla piattaforma coinvolta. E ignora chiunque si faccia avanti promettendo di recuperare il maltolto dietro pagamento: è la seconda ondata della stessa truffa.

La consapevolezza resta la difesa migliore. Un truffatore può clonare un sito, falsificare un video e cucirti addosso una storia perfetta, ma non può firmare o inviare al posto tuo. Quella decisione, alla fine, rimane sempre nelle tue mani.