HTTPS indica soltanto che il collegamento con quel dominio è cifrato; non dimostra che il dominio appartenga al vero servizio crypto. Verifica il nome registrato esatto, raggiungi il sito da una fonte attendibile, esamina gli avvisi sul certificato e salva il dominio confermato prima di collegare un wallet.
Comprendi gli elementi in gioco#
I domini imitazione usano lettere scambiate, parole aggiunte, sottodomini ingannevoli e caratteri internazionali. I moderni siti di phishing possono ottenere certificati TLS validi, quindi il lucchetto è un requisito minimo, non un badge d’identità.
Il certificato prova il controllo tecnico del dominio indicato, non l’identità commerciale che la pagina dichiara. Anche un sito legittimo può essere compromesso, perciò la verifica del dominio deve essere accompagnata dall’esame della richiesta del wallet.
Metodo decisionale#
Usa almeno due riferimenti indipendenti: un link ufficiale salvato in precedenza insieme a un repository verificato, una scheda app store autentica o una directory affidabile dell’ecosistema. Due post social che si copiano a vicenda non sono prove indipendenti.
Una volta confermato il dominio, salvalo come segnalibro. Per le operazioni future usa quel percorso invece di ripetere una ricerca che potrebbe mostrare annunci falsi.
Sequenza di controllo#
- Leggi il dominio da destra verso sinistra per trovare il nome registrabile. In
project.example.com.attacker.tld, il dominio controllante èattacker.tld, nonexample.com.
- Confronta l’ortografia con la documentazione ufficiale del progetto. Controlla trattini, lettere sostituite, estensione e ogni parola aggiunta.
- Apri i dettagli del certificato se il browser mostra un avviso. Non aggirare errori di nome, scadenza o emittente per completare un’operazione urgente.
- Evita risultati sponsorizzati e link abbreviati. Digita il dominio noto o usa un segnalibro, perché la destinazione reale può essere nascosta.
- Salva un segnalibro dopo la verifica indipendente. Assegna un nome chiaro e non importare raccolte di preferiti provenienti da fonti sconosciute.
Trappole comuni#
- Scambiare
project.example.com.attacker.tldper un sottodominio ufficiale. Il marchio a sinistra non controlla il dominio registrabile a destra. - Fidarsi del sito perché usa HTTPS. Anche un truffatore può ottenere un certificato valido per il proprio dominio.
- Ignorare un dominio simile registrato da poco. L’età è un segnale, non una prova, ma una somiglianza recente richiede più verifiche.
- Inserire una seed phrase perché il sito sostiene che il wallet è corrotto. Nessun controllo SSL giustifica la consegna del segreto di recupero.
Un controllo riuscito è ripetibile da fonti esterne e non dipende soltanto dal contenuto mostrato sulla pagina che stai verificando.
Conferma il risultato#
Non giudicare il sito dal suo messaggio di successo. Registra il dominio confermato e confronta separatamente contratto, rete e permessi richiesti dal wallet.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Dominio registrabile individuato da destra | URL esatto confrontato con documentazione ufficiale | Un marchio appare nel sottodominio di un sito estraneo |
| Ortografia confrontata con fonti del progetto | Segnalibro e fonte indipendente datati | La sola prova è il lucchetto HTTPS |
| Avvisi del certificato esaminati | Dettagli salvati senza dati sensibili | Il browser mostra un avviso non risolto |
Conserva URL o screenshot datati quando documentano un tentativo di phishing, ma escludi seed phrase, chiavi private e codici di autenticazione.
Domande frequenti#
Un sito di phishing può avere un certificato valido?
Sì. Le autorità di certificazione convalidano il controllo di un dominio, non la legittimità dell’azienda che dichiara di rappresentare.
Il browser mostra ancora il lucchetto?
L’interfaccia dei browser cambia, ma stato HTTPS e avvisi restano disponibili nelle informazioni del sito. Non usare una singola icona come unico controllo.
Che cosa faccio se il dominio ufficiale reindirizza altrove?
Conferma il reindirizzamento tramite documentazione ufficiale prima di fidarti della nuova destinazione.
Guide correlate#
Fonti#
- Ethereum.org: sicurezza e prevenzione delle truffe
- MetaMask: sicurezza del wallet
- CISA: evitare ingegneria sociale e phishing
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
