Anatomia di una truffa, come difenderti dagli attacchi crypto più comuni e avanzati

A dicembre 2025 una persona ha perso 50 milioni di dollari facendo una cosa che probabilmente hai fatto anche tu: copiare un indirizzo dalla cronologia delle transazioni.

Nessun programma sofisticato. Nessun difetto nel suo portafoglio. Solo un indirizzo che somigliava a quello giusto nelle prime e nelle ultime cifre, e uno sguardo dato di fretta. Tieni a mente le due righe che si somigliavano, perché ci serviranno ancora.

Il punto è tutto qui, ed è la tesi di questa rubrica: non vieni ingannato quando non sai niente, vieni ingannato quando l’attacco sembra normale abbastanza a lungo. L’ingenuità non c’entra. Quella persona sapeva benissimo come si invia una transazione: è proprio per questo che l’ha inviata senza guardarla.

Da oggi apriamo una rubrica dedicata: Anatomia di una truffa. Una puntata per ogni tipo di attacco, sempre con lo stesso schema — come funziona, i segnali, come ti difendi, che cosa fare se è già successo. In MoneyViz passiamo le giornate dentro gli storici di chi queste cose le ha subite, e la parte difficile del lavoro raramente è tecnica: è spiegare a una persona informata come sia potuto succedere proprio a lei.

Perché una rubrica sulla sicurezza, e perché adesso?

Perché il tipo di attacco che colpisce le persone comuni è cambiato. Secondo il rapporto annuale di Chainalysis, nel 2025 le truffe in criptovalute hanno raccolto almeno 17 miliardi di dollari. Il dato che conta però non è il totale, è la composizione: le impersonificazioni sono cresciute del 1400 per cento in un anno, e l’importo medio di ogni pagamento verso un truffatore è passato da 782 a 2.764 dollari. In Italia il fenomeno arriva soprattutto come false piattaforme di investimento: la Polizia di Stato ne ha oscurate 473 in una sola operazione, molte promosse con video creati artificialmente. Si comincia con 250 euro, la piattaforma mostra guadagni che non esistono, e la richiesta cresce.

Perché “stare attenti” non basta?

Perché l’attenzione si consuma, le abitudini no. Il caso più istruttivo del 2025 non riguarda un utente distratto: a febbraio la piattaforma Bybit ha perso circa 401.000 ether, attorno a un miliardo e mezzo di dollari, perché l’interfaccia usata per approvare l’operazione era stata manomessa. Chi firmava vedeva un’operazione ordinaria e stava autorizzando tutt’altro.

Se succede a professionisti con portafogli protetti da più firme, l’idea che basti “essere svegli” non sta in piedi. Quello che sta in piedi sono abitudini che reggono anche quando non sei lucido: quando hai fretta, quando un’operazione non va a buon fine, quando qualcuno ti scrive che il tuo conto è a rischio.

Quali attacchi vedremo, uno per puntata?

Nove tipologie, ognuna con la sua puntata. Tieni da parte questa mappa: nella maggior parte dei casi, per sapere che cosa fare, basta riconoscere in quale riga ti trovi.

Per capire quanto pesano: sul solo address poisoning, due vittime hanno perso 50 milioni e 12,25 milioni di dollari, entrambe copiando un indirizzo dalla cronologia.

Che cosa hanno in comune tutti questi attacchi?

Tre leve, sempre le stesse. La prima è la fretta: quasi ogni truffa contiene una scadenza inventata. Se un messaggio ti spinge ad agire in fretta, quella fretta è già parte dell’attacco.

La seconda è la somiglianza: un dominio con una lettera diversa, un profilo con lo stesso avatar, un indirizzo identico nelle prime quattro e nelle ultime quattro cifre. Sono le due righe che si somigliavano da cui siamo partiti.

La terza è la fiducia, e non è un difetto tuo: chiedere aiuto quando qualcosa non funziona è normale, ed è esattamente il momento in cui i truffatori si presentano. La regola non è “non fidarti di nessuno”, ma “sei tu che apri il canale, non chi ti scrive”.

Quali sono le otto regole che ti evitano quasi tutte le truffe?

Otto, e nessuna richiede competenze tecniche. Prima ancora del dettaglio dei singoli attacchi, riducono il rischio in quasi tutti gli scenari che vedremo.

1. Non digitare mai la frase di recupero online. Nessun servizio legittimo ne ha bisogno: se qualcuno la chiede, la conversazione finisce lì.
2. Non fidarti di chi ti contatta per primo. Nell’aiuto non richiesto sta la trappola più antica del settore.
3. Non firmare quello che non capisci. Se la richiesta non corrisponde a quello che volevi fare, non firmare.
4. Non copiare mai indirizzi dalla cronologia. Somigliante non vuol dire uguale.
5. Password uniche e secondo fattore robusto. Gestore di password e applicazione di autenticazione, o meglio una chiave fisica, al posto degli SMS.
6. Un portafoglio fisico per gli importi che contano. Per cifre significative è la scelta di partenza, non un optional.
7. Rivedi e revoca le autorizzazioni. Un permesso vecchio è comunque un permesso attivo.
8. Tratta l’urgenza come un segnale d’allarme. Chi ti mette fretta ha un motivo, e non è il tuo interesse.

Che cosa fai nei primi dieci minuti se qualcosa non torna?

La velocità conta, ma solo se ti muovi nell’ordine giusto. Questa è la sequenza generale; nelle puntate la adatteremo a ogni attacco.

1. Smetti di interagire. Nessun altro clic, nessun’altra firma, nessuna risposta.
2. Capisci che cosa hai esposto. Una password, la frase di recupero o una firma: sono tre scenari con tre risposte diverse.
3. Frase di recupero esposta: quel portafoglio è compromesso in modo definitivo. Creane uno nuovo su un dispositivo pulito e sposta subito quello che resta.
4. Firma sospetta: revoca le autorizzazioni e sorveglia il portafoglio; se l’importo è rilevante, sposta i fondi altrove.
5. Conto su una piattaforma: cambia la password, chiudi le sessioni attive, rafforza il secondo fattore e proteggi la casella di posta collegata.
6. Documenta tutto. Schermate, orari, identificativi delle transazioni, indirizzi: servono per la denuncia e per ricostruire la posizione.

E se la truffa è già successa, che cosa resta da fare?

Prima la denuncia, poi la ricostruzione, e diffidenza assoluta verso chi promette di recuperare i soldi. I trasferimenti su un registro pubblico sono di norma irreversibili: nella maggior parte dei casi i fondi non tornano indietro, e chi garantisce il contrario in cambio di un pagamento anticipato sta costruendo una seconda truffa sopra la prima. Solo negli Stati Uniti, nel 2025, le truffe del finto recupero hanno prodotto oltre 1,4 miliardi di dollari di danni. La denuncia va presentata alla Polizia Postale con ogni evidenza raccolta.

E dal punto di vista fiscale, che cosa succede alla perdita?

La perdita peggiore è spesso quella che non puoi nemmeno dedurre. In Italia una minusvalenza su cripto-attività esiste, ai fini fiscali, solo a fronte di una cessione a titolo oneroso, di una permuta o di un rimborso: in una parola, di un realizzo. Finché tieni il token in perdita senza venderlo, la perdita resta latente e per il fisco non c’è. L’honeypot è il caso limite: compri un token, il prezzo va a zero e il contratto ti impedisce di venderlo. Non hai ceduto nulla, quindi non hai una perdita fiscalmente rilevante: hai una cripto-attività che vale zero e che, finché la detieni, continua a rientrare negli obblighi di monitoraggio del quadro RW.

All’estremo opposto, se il token è ancora vendibile a un prezzo non nullo, la cessione esiste: la minusvalenza è realizzata e compensa — solo dentro il comparto delle cripto-attività — le plusvalenze dei quattro periodi d’imposta successivi. Il furto puro invece non è un realizzo: le cripto escono verso un indirizzo di terzi senza corrispettivo, quindi non nasce né una plusvalenza tassabile né una minusvalenza automaticamente deducibile. Qui conta la denuncia: con una denuncia formale quel token esce dal quadro RW, senza denuncia resta formalmente tuo e va comunque monitorato.

È qui il classico cornuto e mazziato: la perdita è reale, ma per il fisco conta solo se viene realizzata, e finché quel token resta nel portafoglio va comunque monitorato nel quadro RW senza dare diritto ad alcuna deduzione. Con una piattaforma fallita la minusvalenza diventa deducibile solo alla chiusura definitiva della procedura, dopo l’eventuale quota di riparto anche se pari a zero.

Da dove cominciamo?

Dal finto supporto, l’attacco cresciuto più in fretta nell’ultimo anno e quello che intercetta le persone nel momento peggiore: quando hanno già un problema e stanno cercando aiuto. Poi seguiremo l’ordine della tabella.

Torniamo alle due righe che si somigliavano. Per portare via cinquanta milioni non è servito violare niente: è bastato che, per due secondi, un indirizzo sbagliato sembrasse quello giusto. La sicurezza non è una cosa che si sa, è una cosa che si fa — ogni volta, soprattutto quando sembra superfluo.

Fonti

• Chainalysis — Crypto Crime Report 2026, capitolo sulle truffe (dati 2025)
• Chainalysis — Crypto Crime Report 2026, rapporto completo
• Scam Sniffer — rapporto annuale 2025 su phishing e svuotamento dei portafogli
• FBI — Internet Crime Report 2025, dati sulle denunce e sulle truffe del finto recupero (PDF)
• Ministero dell’Interno — 473 siti di false piattaforme di trading oscurati
• Polizia Postale — che cosa fare in caso di truffa da trading online
• NCC Group — analisi tecnica dell’attacco a Bybit del febbraio 2025
• Halborn — ricostruzione dell’attacco a Bybit e del ruolo della firma cieca
• Coinbase — come riconoscere le finte telefonate dell’assistenza
• Consob — sezione di educazione finanziaria sulle truffe
• MoneyViz — quadro RW crypto 2026: guida completa alla compilazione
• MoneyViz — come compilare il quadro RT crypto 2026