Truffe crypto: rug pull, finti exchange, airdrop e phishing dei wallet
Le criptovalute sono il terreno preferito delle truffe finanziarie per tre caratteristiche che nessun altro strumento ha insieme: i trasferimenti sono irreversibili (non esiste un richiamo del bonifico né una contestazione della carta), l'identificazione di chi riceve è difficile, e il pubblico che le compra è abituato a promesse di rendimento che in qualunque altro contesto farebbero ridere. Il risultato è un catalogo di truffe specifiche, con meccanismi propri che vanno capiti uno per uno, perché le difese sono diverse per ciascuna. La Consob ha oscurato dal 2019 oltre 1.800 siti abusivi, e circa uno su otto riguarda direttamente le cripto-attività.
Questo articolo descrive le truffe crypto più diffuse con il loro meccanismo (il rug pull, i finti exchange e le piattaforme di rendimento, gli airdrop che drenano i wallet, il phishing della frase di recupero, i finti supporti, le truffe romantiche che finiscono in crypto, i finti omaggi, le finte app, l'avvelenamento degli indirizzi, lo scambio di SIM), le difese per ciascuna, le regole di custodia che riducono quasi tutto, cosa fare dopo (con l'onestà sui limiti) e il quadro delle regole.
Il rug pull
Il meccanismo. Un gruppo crea un token nuovo, lo promuove con una comunità costruita in fretta (social, influencer pagati, gruppi di chat), promette un progetto e un valore futuro, e attira acquisti che fanno salire il prezzo. Quando la liquidità (il denaro che gli acquirenti hanno messo per comprare il token) è sufficiente, i creatori la ritirano tutta in una volta ("tirano via il tappeto") e spariscono: il token vale zero, e chi lo ha comprato non può venderlo perché non c'è più nessuno a comprarlo. Una variante, il "honeypot", usa contratti costruiti in modo che solo i creatori possano vendere.
Le difese. I token nuovi promossi da influencer e da comunità appena nate hanno tassi di azzeramento altissimi: chi non sa leggere un contratto e una liquidità bloccata non compra token nati da poco, punto. La regola pratica: solo le criptovalute maggiori e capitalizzate da anni, su piattaforme autorizzate; i "gioielli nascosti" che qualcuno consiglia sono il rug pull di domani.
I finti exchange e le piattaforme di rendimento
Il meccanismo. Un sito che imita una piattaforma di scambio o una piattaforma di "investimento in cripto" con rendimenti giornalieri o mensili fissi. Si deposita, il saldo cresce sullo schermo (numeri finti), si viene incoraggiati a depositare di più, e al momento del prelievo scattano le "tasse", le "commissioni", le "verifiche" da pagare: la truffa del trading in versione crypto, con il vantaggio per i truffatori che i depositi in cripto non si richiamano. Le piattaforme di "rendimento garantito" (staking, lending, "risparmio" al 10–30% annuo) sono Ponzi che pagano i primi con i nuovi e crollano; nel 2022 alcune tra le più grandi sono fallite con miliardi di depositi.
Le difese. Solo piattaforme autorizzate a operare in Europa secondo il regolamento sulle cripto-attività, verificate negli elenchi delle autorità (in Italia l'elenco dei prestatori di servizi autorizzati), con nome e dominio esatti; nessun rendimento garantito su nulla; nessun deposito su piattaforme arrivate da un messaggio, da un annuncio o da una persona conosciuta online.
Gli airdrop che drenano i wallet
Il meccanismo. Un messaggio, un post o un sito annuncia una distribuzione gratuita di token ("airdrop") e invita a collegare il proprio wallet a un sito per riceverli. Il collegamento richiede di firmare una transazione o di concedere un'autorizzazione che, letta con attenzione, dà al contratto del truffatore il permesso di trasferire i token del wallet: pochi secondi dopo il wallet è vuoto. Le varianti: i token "regalati" che compaiono nel wallet e che, se si prova a venderli, attivano l'autorizzazione; i siti che imitano progetti veri con airdrop annunciati.
Le difese. Non collegare il wallet a siti arrivati da link, messaggi o post; leggere ogni richiesta di firma e di autorizzazione prima di confermare (le autorizzazioni "illimitate" a contratti sconosciuti sono il segnale); usare un wallet separato con pochi fondi per le interazioni con contratti e siti; revocare periodicamente le autorizzazioni concesse con gli strumenti dedicati; ignorare i token comparsi da soli.
Il phishing della frase di recupero
Il meccanismo. La frase di recupero (le dodici o ventiquattro parole) è l'unica chiave del wallet in autocustodia: chi la conosce possiede i fondi. I truffatori la chiedono con ogni pretesto: il sito che imita il wallet e chiede di "reimportare" o "verificare" il wallet inserendo la frase; l'e-mail o il messaggio di "aggiornamento di sicurezza"; il finto supporto (vedi sotto); i moduli di "registrazione a un airdrop"; le app false che chiedono la frase all'installazione. Una volta inserita, i fondi vengono trasferiti in minuti.
Le difese. La frase di recupero non si digita mai su nessun sito, non si fotografa, non si salva su cloud o e-mail, non si comunica a nessuno per nessuna ragione: si scrive a mano, si conserva in due luoghi fisici sicuri, e si usa solo per ripristinare il wallet su un dispositivo proprio. Nessun soggetto legittimo (il produttore del wallet, l'exchange, il supporto) la chiede mai. Chi la chiede è il truffatore, sempre.
I finti supporti
Il meccanismo. Chi scrive un problema in un gruppo o in un forum pubblico viene contattato in privato da un "membro del supporto" che offre aiuto e chiede la frase di recupero, l'accesso remoto o di collegare il wallet a un sito. I truffatori monitorano i gruppi pubblici e si presentano con nomi e loghi del progetto.
Le difese. Il supporto vero non contatta in privato per primo, non chiede la frase e non chiede accessi; l'assistenza si cerca solo dai canali ufficiali indicati sul sito del servizio.
Le truffe romantiche e la "macellazione del maiale"
Il meccanismo. Una relazione costruita online per settimane o mesi (su app di incontri, social, messaggi arrivati "per errore"), con una persona attenta e disponibile che a un certo punto racconta dei propri guadagni con le cripto e offre di insegnare, indirizzando su una piattaforma finta. La vittima deposita, vede guadagni finti, deposita ancora, e al prelievo scattano tasse e blocchi. Il nome con cui è nota descrive il metodo: si "ingrassa" la vittima con fiducia e piccoli guadagni prima di "macellarla". È tra le truffe con le perdite medie più alte e con le vittime più diverse.
Le difese. Chiunque conosciuto online che parli di investimenti in cripto e offra di insegnare o indirizzi su una piattaforma è, con probabilità altissima, un truffatore, a prescindere dai mesi di relazione e dall'affetto costruito. Il denaro non si sposta su piattaforme suggerite da persone conosciute online, mai.
I finti omaggi, le finte app, gli indirizzi avvelenati, lo scambio di SIM
I finti omaggi. Video e post con personaggi noti (deepfake, account rubati) che promettono di raddoppiare le cripto inviate a un indirizzo: nessuno raddoppia nulla, il denaro inviato è perso.
Le finte app. Applicazioni negli store che imitano wallet ed exchange veri e rubano frase e fondi: si scaricano le app solo dai link del sito ufficiale e si verificano sviluppatore, recensioni e numero di installazioni.
L'avvelenamento degli indirizzi. Il truffatore invia piccole transazioni da un indirizzo simile a quello con cui la vittima opera abitualmente (stesse prime e ultime cifre), sperando che la vittima copi dalla cronologia l'indirizzo sbagliato nel prossimo invio: si controlla l'intero indirizzo, non le estremità, e si usa la rubrica del wallet.
Lo scambio di SIM. Il truffatore ottiene dall'operatore telefonico una nuova SIM con il numero della vittima (con documenti falsi o complici) e usa i codici via SMS per accedere agli account: l'autenticazione a due fattori si fa con app dedicate o chiavi fisiche, non con gli SMS, e il numero di telefono non si pubblica.
Le regole di custodia che riducono quasi tutto
Sette regole che, applicate insieme, azzerano la maggior parte delle truffe descritte.
- Solo piattaforme autorizzate in Europa, verificate negli elenchi, per comprare e vendere.
- Per le cifre significative un wallet hardware, con la frase di recupero scritta a mano e conservata in due luoghi fisici, mai digitalizzata.
- Un wallet separato con pochi fondi per ogni interazione con siti e contratti.
- Nessuna frase di recupero digitata, fotografata o comunicata, mai.
- Nessun collegamento del wallet a siti arrivati da link; ogni firma e autorizzazione letta; le autorizzazioni revocate periodicamente.
- Autenticazione a due fattori con app o chiave fisica, non SMS; password uniche; nessuna informazione sui propri possessi in pubblico.
- Nessun investimento suggerito da persone conosciute online, nessun rendimento garantito, nessun token nuovo consigliato, nessun omaggio.
Cosa fare dopo, con onestà
Le transazioni in criptovalute sono irreversibili: il denaro inviato a un truffatore non si richiama, e questa è la ragione per cui le difese contano più dei rimedi. Ciò che si può fare: se il pagamento è passato da una carta o da un bonifico verso un exchange autorizzato, contattare la banca nelle ore successive per le contestazioni possibili; segnalare all'exchange autorizzato l'indirizzo del truffatore (le piattaforme regolate possono congelare fondi che arrivano sui loro conti, e collaborano con le indagini); denunciare alla Polizia Postale con tutti i dati (indirizzi, transazioni, siti, messaggi), perché le indagini sulle catene di transazioni esistono e in alcuni casi portano a sequestri; segnalare alla Consob i siti abusivi; spostare i fondi rimasti su un wallet nuovo se la frase è compromessa; cambiare tutte le password e attivare l'autenticazione forte. E non pagare nessuna società di "recupero cripto" che chieda un anticipo: è la seconda truffa, e nel mondo cripto è diffusa quanto la prima.
Il quadro delle regole
Il regolamento europeo sulle cripto-attività, pienamente applicabile dalla fine del 2024 con i periodi di transizione conclusi nel 2026, richiede l'autorizzazione per chi offre servizi in cripto-attività ai clienti europei, con requisiti di capitale, informativa e separazione dei fondi: rende identificabili gli operatori autorizzati e lascia fuori dal perimetro tutto il resto, che è dove le truffe vivono. In Italia la Consob oscura i siti abusivi e pubblica gli avvisi; l'esercizio di servizi senza autorizzazione è abusivismo; le truffe sono truffa aggravata; i deepfake dannosi sono un reato dal 2025. La tassazione italiana delle cripto-attività (33% dal 2026, con il monitoraggio fiscale) non riguarda le truffe, ma chi ha perso in una truffa ha comunque l'obbligo di indicare le cripto-attività detenute, e la perdita per truffa non è una minusvalenza compensabile.
In sintesi
Le truffe crypto sfruttano l'irreversibilità dei trasferimenti, la difficile identificazione e le aspettative di rendimento del pubblico, con meccanismi propri: il rug pull che ritira la liquidità dei token nuovi, i finti exchange e le piattaforme di rendimento garantito che bloccano i prelievi con tasse (il trading truffa in versione cripto, con i Ponzi dello staking), gli airdrop che con un'autorizzazione firmata drenano il wallet, il phishing della frase di recupero con ogni pretesto, i finti supporti nei gruppi pubblici, le relazioni online che finiscono su piattaforme finte, i finti omaggi che raddoppiano, le finte app, gli indirizzi avvelenati nella cronologia, lo scambio di SIM per gli SMS. Le difese sono sette regole di custodia: piattaforme autorizzate verificate, wallet hardware con la frase scritta a mano e mai digitalizzata, un wallet separato per le interazioni, nessuna frase comunicata, nessun collegamento da link con le autorizzazioni lette e revocate, autenticazione con app e non SMS, nessun investimento suggerito online né rendimento garantito né token nuovo.
Dopo la truffa il denaro non si richiama: si contatta la banca se c'è un passaggio contestabile, si segnala all'exchange autorizzato che può congelare, si denuncia alla Polizia Postale con tutti i dati, si segnala alla Consob, si mette in sicurezza il resto, e non si paga nessun recupero. Il regolamento europeo rende identificabili gli operatori autorizzati; le truffe vivono fuori, e la frase di recupero digitata su un sito è il modo più rapido di finirci.