Phishing crypto: come riconoscere i siti di criptovalute falsi

Un sito crypto falso può copiare un exchange, un wallet o una pagina di richiesta token usando però un dominio molto simile all’originale. Verifica l’intero dominio tramite una fonte ufficiale indipendente prima di accedere, scaricare software, collegare un wallet o firmare. Il lucchetto, da solo, non prova l’autenticità del sito.

Capisci che cosa vuole ottenere la pagina falsa#

Le pagine di phishing crypto sono costruite con obiettivi diversi. Alcune acquisiscono credenziali dell’exchange e codici temporanei. Altre chiedono una seed phrase con il pretesto di «sincronizzare» il wallet. Un drainer Web3 può consentire un collegamento apparentemente normale e poi presentare un’approvazione o una firma che autorizza lo spostamento degli asset.

La qualità visiva della pagina è una prova debole. Gli aggressori possono copiare loghi, testi, design system e perfino articoli del centro assistenza. Le prove affidabili sono il dominio, l’editore del software, il contenuto della transazione e il percorso usato per raggiungere la pagina.

Leggi il nome host da destra verso sinistra#

In support.example.com, il dominio registrabile è example.com; «support» è un sottodominio. In example.com.security-check.net, il dominio di controllo è security-check.net, non example.com.

Fai attenzione a:

• errori ortografici, caratteri sostituiti e parole aggiunte;
• estensioni nazionali o generiche insolite;
• nomi di marchi collocati nel sottodominio di un sito non correlato;
• abbreviazioni URL che nascondono la destinazione;
• annunci di ricerca posizionati sopra il risultato autentico;
• caratteri internazionalizzati che somigliano a lettere latine.

HTTPS significa soltanto che il collegamento con quel dominio è cifrato. I truffatori possono ottenere certificati TLS validi per i propri domini falsi. Gli avvisi sul certificato sono seri, ma l’assenza di un avviso non equivale a un’approvazione.

Usa un percorso indipendente per verificare il sito ufficiale#

Non verificare un link usando informazioni contenute nello stesso messaggio che lo ha fornito. Apri un segnalibro salvato, digita un indirizzo verificato in precedenza, usa l’app mobile ufficiale oppure confronta il dominio su più canali consolidati del progetto.

Se ricevi un avviso di sicurezza relativo a un exchange, apri l’exchange separatamente e controlla le notifiche all’interno dell’account. L’FBI raccomanda a chi riceve una chiamata o un messaggio urgente da un presunto exchange di interrompere il contatto e raggiungere l’azienda tramite il numero o il sito ufficiale, non dal link del mittente.

Fermati quando il sito chiede un segreto che non dovrebbe servire#

Nessuna normale applicazione decentralizzata ha bisogno della seed phrase o della chiave privata grezza. Questi segreti ripristinano o controllano il wallet: non sono credenziali di collegamento.

Altre richieste ad alto rischio includono:

• installare software di controllo remoto per ricevere «assistenza»;
• disattivare l’antivirus o ignorare gli avvisi del browser;
• scaricare un aggiornamento non firmato del wallet da un servizio di condivisione file;
• inserire ripetutamente una serie di codici MFA;
• inviare un «trasferimento di verifica» per proteggere l’account;
• firmare immediatamente un messaggio illeggibile per evitare una sospensione.

L’urgenza fa parte dell’attacco. Una procedura di sicurezza legittima deve consentire il tempo necessario a verificarla in modo indipendente.

Esamina la richiesta del wallet separatamente dal sito#

Anche un dominio autentico può essere compromesso e un’interfaccia falsa può inviare una transazione tecnicamente valida. Prima di firmare, leggi la richiesta del wallet e identifica blockchain, contratto, asset, importo e permesso.

Rifiuta richieste inattese come Approve, Permit, SetApprovalForAll, modifiche alla proprietà o firme molto ampie. Usa un wallet di interazione con saldo ridotto per i siti poco noti. Se devi soltanto consultare un saldo, preferisci un block explorer che non richieda di collegare il wallet.

Che cosa fare dopo aver visitato una possibile pagina di phishing#

Il semplice caricamento della pagina normalmente non trasferisce asset, ma download, credenziali, firme e approvazioni creano esposizioni diverse.

1. Chiudi la pagina e non tornarci tramite il link sospetto.
2. Se hai inserito credenziali, proteggi l’email di recupero, cambia la password dal sito ufficiale e revoca le sessioni.
3. Se hai inserito un codice MFA, considera la sessione potenzialmente compromessa e contatta l’assistenza ufficiale.
4. Se il wallet ha firmato un’approvazione, esamina e revoca l’allowance.
5. Se hai inserito la seed phrase, crea un wallet con una nuova frase e trasferisci gli asset rimasti.
6. Conserva URL, messaggi, hash della transazione e indirizzi destinatari per la segnalazione.

Domande frequenti#

HTTPS significa che un sito crypto è sicuro?

No. HTTPS protegge i dati durante il transito verso il dominio mostrato nella barra degli indirizzi. Non prova che quel dominio appartenga all’azienda autentica.

Un wallet può essere svuotato semplicemente collegandolo?

Il collegamento normalmente rivela l’indirizzo pubblico. La perdita in genere richiede una firma, un’approvazione, una chiave esposta o una vulnerabilità del wallet o del software. Se il sito era sospetto, disconnettiti e controlla comunque i permessi.

Il primo risultato di ricerca è sempre ufficiale?

No. Pubblicità, manipolazione dei risultati e frammenti copiati possono mettere in evidenza una pagina falsa. Verifica il nome host in modo indipendente.

È utile controllare l’età del dominio?

Può essere un indizio, ma un vecchio dominio può essere compromesso e un progetto legittimo può usare un dominio recente. L’età non deve prevalere sulla verifica diretta e sull’esame della transazione.

Fonti#

• CISA: indicazioni sul phishing
• FBI IC3: truffatori che impersonano exchange di criptovalute
• Ethereum.org: sicurezza e prevenzione delle truffe
• Trezor: truffe comuni e phishing

Avvertenza sui rischi: I controlli sul dominio riducono il rischio, ma non possono dimostrare che un sito, un front end o uno smart contract siano sicuri. Verifica sia il percorso sia l’autorità richiesta.