La tua superficie di attacco: phishing, malware che modifica gli appunti, app false e SIM swap

Copi un indirizzo wallet, lo incolli nel campo di invio e confermi. Sembra tutto a posto. Ma un malware invisibile ha sostituito l’indirizzo non appena è arrivato negli appunti: ora i tuoi fondi sono finiti per sempre nelle mani di uno sconosciuto. La maggior parte degli attacchi riusciti ai danni di chi possiede criptovalute non compromette la blockchain. Sfrutta comportamenti umani prevedibili: copiare e incollare indirizzi senza controllarli, scaricare app dai risultati di ricerca e fidarsi di un numero di telefono come metodo di recupero. Con l’autocustodia, sei tu l’ultima linea di difesa. Capire la tua superficie di attacco è il primo passo per proteggerla.

Phishing: quando la minaccia ha un volto fidato

Nel mondo crypto, il phishing si presenta principalmente in tre forme. Le email di phishing imitano gli avvisi degli exchange o le notifiche dei wallet per creare urgenza: un account sospeso, un accesso sospetto, un prelievo che non hai effettuato. Gli annunci a pagamento nei risultati di ricerca imitano i siti dei wallet o degli exchange decentralizzati e compaiono sopra i risultati organici; il dominio dell’annuncio differisce appena da quello autentico ("metamask-app.io" invece di "metamask.io"). Il phishing sui social arriva tramite messaggi diretti su Discord inviati da falsi bot di supporto o tramite gruppi Telegram che promettono airdrop.

In tutti i casi, l’obiettivo è lo stesso: rubarti la frase seed o la chiave privata, oppure indurti ad approvare una transazione malevola. Nessun servizio legittimo chiede mai la frase seed: né il fornitore del tuo wallet, né il supporto di un exchange, né un sito che offre di verificare il tuo account.

Il phishing tramite annunci di ricerca è sempre più pericoloso perché il design visivo di un sito falso può essere identico a quello autentico. L’attaccante acquista annunci su Google o Bing per ricerche che indicano un’elevata intenzione, come "MetaMask download" o "Uniswap app". Chi fa clic sull’annuncio invece di raggiungere direttamente il sito finisce su un sito truffaldino che svuota il wallet. I segnali d’allarme — un URL non corrispondente, la richiesta di importare il wallet al primo accesso, un tono che mette fretta — sono facili da non notare quando hai fretta.

Come proteggerti: Aggiungi ai preferiti gli URL ufficiali dei wallet e raggiungili direttamente. Non fare mai clic sui link dei wallet ricevuti via email o negli annunci di ricerca. Se possibile, usa un hardware wallet per firmare: così, nemmeno un sito falso convincente può sottrarti le chiavi, perché per procedere il dispositivo richiede la pressione di un pulsante fisico sul proprio schermo resistente alle manomissioni.

Malware che intercettano gli appunti: la sostituzione invisibile dell’indirizzo

Un malware che intercetta gli appunti monitora gli appunti di sistema alla ricerca di sequenze che corrispondono agli indirizzi dei wallet crypto. Gli indirizzi Bitcoin iniziano con 1, 3 o bc1; gli indirizzi Ethereum iniziano con 0x. Quando rileva una sequenza corrispondente, il malware la sostituisce di nascosto con un indirizzo controllato dall’attaccante, prima che tu la incolli.

L’attacco è progettato per passare inosservato. Nel campo di invio compare l’indirizzo dell’attaccante, che a prima vista può sembrare corretto, soprattutto se i primi e gli ultimi caratteri sono stati falsificati per somigliare a quelli della destinazione che intendevi usare.

I canali di diffusione di questo malware sono diversi: estensioni del browser malevole, app desktop manomesse come strumenti di trading piratati o falsi tracker di portafoglio e software contraffatto a corredo degli hardware wallet. La campagna GitVenom, documentata da Kaspersky alla fine del 2024, ha diffuso malware che intercettavano gli appunti tramite falsi repository GitHub. Alle vittime in Brasile, Turchia e Russia sono stati sottratti circa 5 BTC, per un valore di circa $485,000 all’epoca. Questo tipo di attacco non riguarda solo Windows. ClipXDaemon, individuato da Cyble nel febbraio 2026, prende di mira i sistemi Linux intercettando le sessioni degli appunti X11.

Come proteggerti: Dopo aver incollato un indirizzo wallet, controlla l’intera sequenza carattere per carattere prima di confermare. Un hardware wallet impone questa abitudine: mostra sul proprio schermo il vero indirizzo di destinazione, indipendentemente dal contenuto degli appunti del computer. Non installare mai estensioni del browser al di fuori degli store ufficiali ed evita di eseguire software ottenuto al di fuori del canale di distribuzione verificato dello sviluppatore.

Avvelenamento degli indirizzi: basta un carattere sbagliato per perdere tutto

L’avvelenamento degli indirizzi sfrutta una scorciatoia comune nelle interfacce dei wallet. La maggior parte dei wallet mostra solo i primi quattro-sei caratteri e gli ultimi quattro-sei di un indirizzo wallet. Gli attaccanti generano indirizzi simili, detti vanity address, che corrispondono esattamente ai caratteri visibili. Poi inviano al wallet della vittima minuscole transazioni «dust» (importi esigui, quasi privi di valore) dal falso indirizzo, inserendo così l’indirizzo simile nella cronologia delle transazioni della vittima.

Quando in seguito la vittima vuole inviare di nuovo fondi a un indirizzo noto, scorre la cronologia delle transazioni, vede la voce dall’aspetto familiare, la copia e invia i fondi al wallet dell’attaccante.

La portata di questo attacco è considerevole. Chainalysis ha documentato una singola campagna nel 2024 che ha generato 82,031 indirizzi falsi, colpito 2,774 vittime e causato perdite complessive per circa $69.7 milioni. Nel maggio 2024, un attacco di avvelenamento degli indirizzi è quasi costato a un singolo possessore $68 milioni in Wrapped Bitcoin (WBTC); i fondi sono stati restituiti dopo una trattativa, ma durante il periodo delle negoziazioni l’attaccante ha trattenuto circa $3 milioni di guadagni dovuti all’apprezzamento. Nel dicembre 2025, un trader di criptovalute ha perso $49,999,950 in USDT con una singola transazione verso un indirizzo avvelenato.

Non copiare mai gli indirizzi dalla cronologia delle transazioni. Usa una rubrica di indirizzi salvati oppure incolla ogni volta l’indirizzo dalla fonte originale verificata.

Come proteggerti: Salva gli indirizzi che usi spesso nella rubrica del wallet, invece di copiarli di nuovo dalla cronologia. Quando invii importi elevati, verifica ogni carattere dell’indirizzo di destinazione, non solo i primi e gli ultimi. Gli hardware wallet mostrano l’indirizzo completo sullo schermo, così puoi verificarlo manualmente prima di firmare.

App wallet false: malware nascosto nell’App Store

Le app wallet false copiano l’icona, il nome e l’interfaccia dei wallet legittimi. Una volta installate, mostrano una schermata di importazione falsa della frase seed, per sottrarre le frasi a chi ripristina un wallet esistente, oppure eseguono di nascosto transazioni che svuotano gli account collegati.

Queste app circolano anche negli store ufficiali, il che le rende particolarmente credibili. Nel 2024, Check Point Research ha documentato su Google Play una falsa app chiamata "WalletConnect — Crypto Wallet" che ha totalizzato oltre 10,000 download in cinque mesi, è riuscita a evitare del tutto il rilevamento (zero rilevamenti su VirusTotal) e ha sottratto più di $70,000 a oltre 150 vittime usando il toolkit MS Drainer. Nel 2025, Google ha rimosso oltre 22 app wallet crypto false che si spacciavano per PancakeSwap, SushiSwap e Raydium; molte usavano schermate di importazione false per sottrarre frasi seed.

Gli annunci di ricerca e la manipolazione SEO fanno comparire le app false sopra le versioni legittime sia negli store sia nei risultati di ricerca sul web, aggravando il problema.

Come proteggerti: Prima di installare un’app wallet, visita il sito ufficiale del wallet e segui il link per il download indicato lì. Controlla il nome esatto dello sviluppatore: una sola lettera diversa potrebbe essere l’unico segno che distingue l’app falsa. Leggi le recensioni recenti per individuare eventuali segnalazioni di fondi persi. E soprattutto: non inserire mai una frase seed in un’app appena installata, a meno che tu non l’abbia raggiunta tramite il canale di distribuzione ufficiale.

SIM swapping: quando il tuo numero di telefono diventa un rischio

Il SIM swapping (chiamato anche dirottamento della SIM) è un attacco di ingegneria sociale in cui un aggressore convince il tuo operatore di telefonia mobile a trasferire il tuo numero su una SIM che controlla. Di solito ci riesce combinando dati personali raccolti da violazioni di dati e social media e, in alcuni casi, corrompendo dipendenti dell’operatore.

Quando prende il controllo del tuo numero, l’aggressore intercetta le password monouso inviate via SMS (SMS OTP). Può così reimpostare l’accesso alla tua email, poi quello al tuo exchange e infine svuotare il tuo wallet crypto. L’irreversibilità delle transazioni on-chain rende le criptovalute un bersaglio ideale: a differenza di un bonifico bancario, non è possibile stornare il pagamento né avviare una procedura di contestazione.

La portata del problema è documentata ed è in crescita. Nel rapporto annuale 2024 dell’Internet Crime Complaint Center (IC3) dell’FBI sono stati registrati 982 reclami per SIM swapping negli Stati Uniti, con perdite segnalate per circa $26 milioni. Il servizio antifrode britannico Cifas ha segnalato nel 2024 un aumento del 1,055% dei casi di SIM swapping, arrivati a quasi 3,000 rispetto ai 289 dell’anno precedente. Nel marzo 2025, T-Mobile è stata condannata a pagare $33 milioni in arbitrato dopo che un singolo SIM swapping aveva permesso di rubare le criptovalute di un cliente.

I possessori di criptovalute sono bersagliati in misura sproporzionata: il patrimonio on-chain è visibile pubblicamente, i social media spesso rivelano i possedimenti e l’irreversibilità delle transazioni esclude la possibilità di stornarle.

Come proteggerti: Rimuovi il tuo numero di telefono come fattore di autenticazione a due fattori (2FA) su ogni exchange, account email e servizio cloud. Sostituisci le password monouso via SMS (SMS OTP) con un’app di autenticazione TOTP (come Aegis o Raivo) o una chiave hardware di sicurezza FIDO2. Imposta un PIN o una password per l’account direttamente presso il tuo operatore mobile. Usa un indirizzo email dedicato per accedere agli exchange, non collegato ai tuoi account social. Evita di annunciare pubblicamente che possiedi criptovalute.

L’abitudine che neutralizza la maggior parte degli attacchi: verifica prima di confermare

Tutti gli attacchi descritti qui sfruttano la stessa discrepanza: quella tra ciò che vedi sullo schermo e ciò che viene effettivamente firmato, inviato o approvato. L’obiettivo dell’aggressore è sempre farti confermare qualcosa prima che tu l’abbia verificato.

La difesa comune consiste nel fermarti a ogni passaggio di conferma:

1. Verifica l’indirizzo di destinazione completo, carattere per carattere, non solo i primi e gli ultimi caratteri.
2. Controlla l’importo e l’asset corretti prima di firmare.
3. Verifica che l’URL del sito o dell’app corrisponda esattamente al tuo segnalibro.

Gli hardware wallet impongono questa abitudine per progettazione. I dettagli della transazione appaiono su uno schermo resistente alle manomissioni, che il computer host non può modificare, e per firmare è necessario premere un pulsante fisico. Questo non rende invulnerabili gli hardware wallet, ma elimina l’intera categoria di attacchi che si basa sulla manipolazione di ciò che vedi su uno schermo compromesso.

Per proteggere gli account, sostituisci l’autenticazione a due fattori via SMS (2FA) con TOTP o FIDO2 su ogni piattaforma che li supporta. Per proteggere la frase seed, non inserirla mai in una scheda del browser, in una finestra di chat, in uno screenshot o in un backup sul cloud, a prescindere da ciò che ti chiede un presunto «addetto all’assistenza».

Punti chiave

• Phishing, malware che intercettano gli appunti, app false e SIM swapping sono i vettori di attacco più comuni contro chi usa l’autocustodia; nessuno di questi richiede di violare la crittografia.
• L’avvelenamento degli indirizzi inserisce indirizzi simili a quelli legittimi nella cronologia delle transazioni: non copiare mai un indirizzo di destinazione dalla cronologia.
• Il malware che intercetta gli appunti sostituisce di nascosto gli indirizzi copiati: verifica sempre l’intero indirizzo incollato prima di confermare un invio.
• Le app wallet false circolano negli store ufficiali senza essere rilevate da alcun antivirus: raggiungi sempre il link di download dal sito ufficiale del wallet.
• L’autenticazione a due fattori via SMS (2FA) è un rischio: sostituiscila con TOTP o una chiave hardware di sicurezza FIDO2 su ogni account che protegge l’accesso alle criptovalute.
• Un hardware wallet impone la verifica al momento della firma ed elimina la categoria più ampia di attacchi basati sull’inganno tramite schermo.