Il phishing crypto si riconosce dall'approccio più che dall'aspetto: un contatto su un canale che non hai mai chiesto — un messaggio privato, un annuncio di ricerca a pagamento, un QR code, un invito nel calendario —, una scadenza inventata e una richiesta che nessun interlocutore legittimo fa mai, cioè la tua seed phrase o una firma su una pagina raggiunta tramite un link. Nessun interlocutore legittimo ha mai bisogno della tua frase di recupero, e un wallet completamente non-custodial come WATS — dove le chiavi le detieni tu e WATS non detiene mai una chiave — non ha alcun account da sbloccare né alcun motivo per chiederti quelle parole. Il design non dimostra nulla: controlla il dominio carattere per carattere e leggilo da destra a sinistra, perché il nome registrato sta immediatamente prima del dominio di primo livello, il che rende app.wallet.com.claim-rewards.io il sito claim-rewards.io. Non arrivare mai su un sito finanziario da un annuncio, un messaggio privato o un QR code: salva una volta l'indirizzo vero nei preferiti ed entra solo da quel preferito, e ricorda che HTTPS e il lucchetto dimostrano la cifratura, non l'onestà. Se hai già cliccato, valuta in base a ciò che è successo dopo: chiudere la scheda di solito è innocuo, connettersi senza firmare espone soltanto il tuo indirizzo, una firma significa che devi controllare l'attività recente e revocare subito le approvazioni di token che non riconosci, e una seed phrase inserita significa che il wallet è compromesso in modo permanente e che tutto va spostato immediatamente su uno appena generato.
Come si riconosce il phishing crypto?
Il phishing crypto si rivela attraverso tre segnali: un approccio su un canale laterale — un messaggio privato, un annuncio o un invito che non hai chiesto —, una scadenza inventata (“reclama entro 10 minuti”, “il tuo wallet è a rischio”) e una richiesta che nessun interlocutore legittimo fa mai: la tua seed phrase, oppure una firma su una pagina raggiunta tramite un link. Controlla il dominio carattere per carattere e verifica attraverso un canale di cui ti fidi già.
Il phishing è la metà sociale dell'attacco. La metà tecnica — l'approvazione o la firma malevola che aspetta dietro al link — riguarda i wallet drainer, e quell'articolo copre la meccanica on-chain. Questo riguarda il passaggio precedente: riconoscere l'esca mentre i tuoi fondi sono ancora tuoi.
La tassonomia delle esche: cinque modi per raggiungerti
Quasi ogni campagna è una variazione su cinque modalità di consegna. Impara le forme e l'esca specifica — il nome del token, il marchio impersonato — smette di contare.
| Esca | Come funziona | Il segnale |
|---|---|---|
| Sito clonato in un annuncio di ricerca | Un annuncio a pagamento sopra il risultato vero ti porta a una copia identica su un dominio sosia | Il dominio, mai il design |
| Falsa richiesta di airdrop | “Sei idoneo” per un token che ricordi vagamente; la pagina di reclamo vuole una connessione e una firma | Un'idoneità non richiesta più un conto alla rovescia |
| “Supporto” via messaggio privato | Pochi minuti dopo che ti sei lamentato in pubblico, un account dall'aria ufficiale ti offre aiuto tramite un modulo di “validazione” | Il supporto vero non scrive mai per primo in privato |
| Leve di urgenza e paura | “Il tuo wallet sarà sospeso”, “la migrazione chiude stasera”: il panico è il prodotto | Una scadenza che non trovi su nessun canale ufficiale |
| QR code avvelenati e inviti nel calendario | Eventi aggiunti automaticamente al calendario o adesivi con QR alle conferenze ti portano dritto al clone | Non l'hai mai chiesto |
Come ingannano le persone i siti crypto falsi?
I siti clonati funzionano perché copiare un design non costa nulla. Un aggressore replica in pochi minuti il sito di una dApp o di un wallet reali — logo, impaginazione, pulsante di connessione —, lo ospita su un dominio sosia e poi compra un annuncio di ricerca perché il falso finisca sopra l'originale nei risultati, oppure semina il link tra le risposte, i messaggi privati e i falsi post sugli airdrop. I cloni veicolati dagli annunci sono efficaci proprio perché cliccare sul primo risultato di ricerca sembra prudenza e non rischio. La pagina si comporta perfettamente fino al momento in cui ti chiede di firmare o di “verificare”: l'aspetto di un sito non dice nulla su cosa sia davvero. Solo il dominio lo dice.
Come capire se un URL è falso?
Il dominio è l'unica cosa che un aggressore non può copiare esattamente, quindi ci si avvicina il più possibile e conta sul fatto che tu non guardi. Quattro controlli intercettano quasi tutto:
- Leggi da destra a sinistra. Il nome registrato sta immediatamente prima del dominio di primo livello (o del suffisso pubblico: per i domini nazionali come .co.uk è la parte prima di .co.uk): in app.wallet.com.claim-rewards.io il sito vero è claim-rewards.io, e tutto ciò che sta alla sua sinistra è decorazione.
- Cerca i caratteri sostituiti. Un rn al posto di una m, un 1 al posto di una l, uno 0 al posto di una o, oppure una lettera sosia presa in prestito da un altro alfabeto: a un clone basta un solo carattere. I nomi di dominio non distinguono maiuscole e minuscole, quindi il trucco non sta mai nelle maiuscole: sta nelle forme. I browser spesso smascherano la versione presa da un altro alfabeto mostrando l'indirizzo nella sua forma punycode grezza xn--… invece della parola che ti aspettavi, e già questo è un motivo per fermarti.
- Diffida del percorso, non solo dell'indirizzo. Non entrare mai in un sito finanziario passando da un annuncio, un messaggio privato, un QR code o un invito nel calendario. Salva una volta nei preferiti i siti ufficiali, da una fonte di cui ti fidi, e arrivaci solo dal preferito.
- Ignora il lucchetto. HTTPS dimostra che la connessione è cifrata, non che il sito sia onesto: anche i siti di phishing hanno certificati validi.
L'unica regola che ne batte la maggior parte
Qualunque sia la confezione, quasi ogni campagna converge sulle stesse due richieste: digita la tua frase di recupero, oppure firma qualcosa su una pagina su cui non sei arrivato da solo. Per questo una sola regola svolge quasi tutto il lavoro difensivo: nessun interlocutore legittimo ti chiederà mai la seed phrase. Né il team di un wallet, né un exchange, né uno strumento di “sincronizzazione” o “validazione”, né una richiesta di airdrop. Come spiega cos'è una seed phrase, la frase è le chiavi: chi possiede quelle parole possiede il wallet, in modo permanente e irreversibile. Nell'istante in cui te le chiedono, non sei in una conversazione con l'assistenza: sei dentro una rapina.
Verifica il canale, non il messaggio
Il phishing riesce prendendo in prestito per un attimo un canale di cui ti fidi: una casella di posta, un feed, una pagina di risultati. L'abitudine opposta è semplice: non agire mai sul canale da cui è arrivato il messaggio. Se il “supporto” ti scrive in privato, chiudi la conversazione e apri un ticket dal sito ufficiale del progetto. Se un'email dice che il tuo wallet va migrato, vai al tuo preferito e cerca lì l'annuncio. Se un airdrop è reale, verrà pubblicato sui canali che segui già, non su quelli che hanno trovato te.
L'urgenza esiste proprio per impedire questo controllo. Una scadenza vera sopravvive a dieci minuti di verifica; una falsa è progettata per non sopravvivere. Queste abitudini si inseriscono in una routine più ampia — disciplina nella firma, igiene delle approvazioni, custodia delle chiavi — trattata nelle best practice per la sicurezza dei wallet crypto.
Cosa fare se hai cliccato su un link di phishing?
Valuta in base a ciò che è successo dopo il clic: il clic da solo raramente è il danno.
- Hai cliccato e non hai fatto altro. Chiudi la scheda. Il fatto che un browser moderno visiti una pagina non espone di per sé le tue chiavi.
- Hai connesso il wallet ma non hai firmato nulla. Connettersi rivela il tuo indirizzo e permette al sito di proporre transazioni, ma non concede accesso ai fondi. Disconnetti il sito dalle impostazioni del tuo wallet e vai avanti.
- Hai firmato una transazione o un messaggio. Dai per scontato che qualcosa sia stato concesso: controlla l'attività recente del tuo wallet e revoca ogni approvazione di token che non riconosci. Tieni presente che una firma off-chain — un messaggio in stile Permit — non lascia traccia nella cronologia delle transazioni finché l'aggressore non la usa davvero, quindi una cronologia vuota non prova che nulla sia stato autorizzato; se il wallet contiene qualcosa che non puoi permetterti di perdere, sposta anche quegli asset su un wallet nuovo. L'articolo sui drainer citato sopra spiega esattamente cosa autorizzano quelle firme.
- Hai inserito la tua seed phrase. Il wallet è compromesso e non si può riparare: genera un wallet nuovo su un dispositivo pulito e spostaci tutto immediatamente. Gli aggressori automatizzano lo svuotamento delle frasi appena carpite; la velocità è l'unica leva che ti resta.
Dove si colloca WATS
WATS è completamente non-custodial su tutti e quattro i suoi prodotti: la Chrome Extension, l'app mobile, la Hot Wallet e la NFC Metal Card. Le chiavi le detieni tu, e WATS non detiene mai una chiave. È questo a rendere banale l'applicazione dell'unica regola: non esiste alcun account lato WATS che un falso “agente di supporto” possa sbloccare, nessuna copia lato WATS della tua frase di recupero da “riverificare” e nessuna situazione in cui WATS abbia bisogno di quelle parole. Qualsiasi messaggio che le chieda indossando il marchio WATS è phishing per definizione, per quanto bene sia copiato il logo.
Vale la pena essere precisi su cosa questo ti dà e cosa non ti dà, perché è esagerando che si finisce per far male alle persone. La non-custodia non è una funzione anti-phishing: la self-custody significa che la difesa sta nelle tue abitudini, e una frase digitata su un sito clonato è persa a prescindere da quale wallet l'abbia generata. Ciò che la non-custodia elimina è un'intera superficie di ingegneria sociale — il “recupero dell'account”, lo “sblocco per conformità”, la storia del “saldo congelato” — perché quei pretesti funzionano solo dove un'azienda detiene qualcosa per tuo conto. La NFC Metal Card di WATS rientra nella stessa precisazione: non conserva alcuna chiave privata né alcuna seed phrase, autentica con un tap verso chiavi che restano all'interno delle app WATS, e ogni carta porta un ID univoco abbinato a esattamente un dispositivo. Quindi chi ti chiede di “attivare”, “registrare” o “validare” una carta digitando la tua frase di recupero in una pagina sta portando avanti una truffa, non un passaggio di configurazione.
La versione pratica di tutto questo è breve. Installa WATS dalla pagina di download ufficiale e non da un annuncio, un messaggio privato o un QR code che ti hanno messo davanti; salva quell'indirizzo nei preferiti la prima volta ed entra dal preferito tutte le volte successive. Scrivi la frase che WATS genera, tienila offline e tratta ogni richiesta di quella frase — su qualsiasi canale, con qualsiasi formulazione, da chiunque provenga — per quello che è: un attacco. Queste tre abitudini, più la lettura del dominio da destra a sinistra, sono ciò che davvero mantiene intatto un wallet in self-custody.
Domande frequenti
Un'azienda crypto legittima mi chiederà mai la seed phrase?
No, mai, in nessuna circostanza. La seed phrase è la chiave principale che rigenera ogni chiave privata del tuo wallet, e nessun team di un wallet, exchange, agente di supporto o airdrop ne ha bisogno per nulla: i problemi di assistenza si risolvono nel software, non prendendo in custodia le tue chiavi. Qualsiasi modulo, messaggio privato, pop-up o “strumento di validazione” che chieda quelle parole è un tentativo di phishing, punto, per quanto ufficiale possa sembrare.
WATS mi chiederà mai la seed phrase?
No. WATS non ti chiederà mai la seed phrase, su nessun canale e per nessun motivo. WATS è completamente non-custodial — le chiavi le detieni tu e WATS non detiene mai una chiave — quindi non c'è alcun account da sbloccare, alcun saldo da rilasciare né alcuna azione di assistenza che possa richiedere quelle parole. La tua frase si inserisce soltanto nella tua app WATS durante la configurazione o il recupero. Chiunque ti contatti spacciandosi per WATS e ti chieda la frase, o ti indirizzi a una pagina che la chiede, sta portando avanti un attacco di phishing, e la risposta corretta è fermarsi e raggiungere da solo il sito ufficiale invece di rispondere.
Come faccio a controllare se un sito crypto è autentico?
Leggi il dominio da destra a sinistra: il nome registrato sta subito prima del dominio di primo livello (o del suffisso pubblico: per i domini nazionali come .co.uk è la parte prima di .co.uk), quindi app.wallet.com.claim-site.io è claim-site.io, non wallet.com. Controlla i caratteri sostituiti, come un rn al posto di una m. Non arrivarci mai da un annuncio, un messaggio privato o un QR code: naviga da un preferito salvato a partire da una fonte ufficiale. Il lucchetto dimostra soltanto la cifratura; anche i siti di phishing hanno certificati validi.
Usare un wallet non-custodial come WATS mi protegge dal phishing?
In parte, ed è importante sapere in quale parte. Il fatto che WATS sia completamente non-custodial elimina i pretesti su cui il phishing fa più leva — non c'è alcun account detenuto da WATS da “recuperare”, “sbloccare” o “verificare”, e WATS non detiene mai una chiave né ha bisogno della tua frase di recupero — quindi qualsiasi messaggio che usi quel copione è immediatamente riconoscibile come falso. Quello che non fa è impedirti di digitare la tua frase su un sito clonato o di firmare una transazione malevola; nella self-custody quelle decisioni sono soltanto tue. Il wallet elimina la menzogna; le tue abitudini — preferiti, controllo del dominio, leggere ciò che firmi — fermano il furto.
Cosa devo fare se ho inserito la mia seed phrase su un sito di phishing?
Considera il wallet compromesso in modo permanente: la frase non può essere ritirata e cambiare una password non serve a nulla, perché la frase è le chiavi. Crea un wallet completamente nuovo con una seed phrase appena generata su un dispositivo pulito, installando l'app da una fonte ufficiale a cui sei arrivato da solo e non da un link contenuto nel messaggio che ti ha ingannato, poi sposta immediatamente ogni asset sui nuovi indirizzi; gli aggressori automatizzano lo svuotamento delle frasi carpite, quindi la velocità conta. Dopodiché, verifica cos'altro proteggeva la vecchia frase e mettila fuori uso ovunque.