Rendimenti fuori scala, account social scintillanti e promesse di stabilità assoluta: l’ecosistema delle criptovalute attira capitali e, insieme, tenta i truffatori. Distinguere un’iniziativa solida da una trappola richiede metodo. Un percorso operativo strutturato riduce l’asimmetria informativa e isola i rischi prima che diventino perdite.
Di seguito un framework di due diligence replicabile, pensato per investitori e operatori. Copre segnali d’allarme, verifica del team analisi della tokenomics controlli sugli smart contract e sulla custodia dei fondi. Include modelli pratici per individuare offerte e rendimenti sospetti con criteri misurabili.
Framework STEP: sequenza di controllo replicabile
Il framework STEP (Screening, Tokenomics, Engineering, Protezione) guida la valutazione in quattro passaggi ordinati. La logica: filtrare velocemente i falsi positivi, poi approfondire dove serve. Applicato con rigore, consente di standardizzare il processo e confrontare progetti eterogenei con una metrica comune.
- Screening triage iniziale di red flag, governance e comunicazione.
- Tokenomics modello economico, incentivi, vesting e liquidità.
- Engineering revisione on-chain permessi, audit, processi.
- Protezione custodia, treasury controlli e business continuity.
Screening: segnali d’allarme e verifica del team
Il primo filtro è comportamentale e informativo. Diffidare di rendimenti garantiti referral aggressivi, contatori di profitti in tempo reale, roadmap fumose e whitepaper generici. Un modello semaforico aiuta: rosso per garanzie esplicite, assenza di documentazione tecnica, team anonimo con controllo su fondi; giallo per obiettivi poco misurabili; verde per metriche tracciabili e codici pubblici.
La verifica del team richiede tracciabilità dei profili, conflitti d’interesse dichiarati e riscontri incrociati. Controlli minimi: identità coerenti su canali ufficiali, esperienze verificabili, ruoli chiari, advisory non solo nominale. Segnali critici includono member cycling (continui cambi di figure chiave), partner non confermati e pressioni a investire entro scadenze artificiali.
Tokenomics: sostenibilità, incentivi e modelli di controllo
Una tokenomics robusta deve spiegare chi paga cosa, quando e perché. Tre blocchi di verifica: offerta (supply, inflazione, FDV), distribuzione (allocazioni, vesting sblocco team/investitori) e domanda (utilità reale, fee sink, meccanismi deflattivi). Un controllo pratico: calcolare il rapporto tra emissioni nette a 12 mesi e flussi di entrata organici attesi; se le emissioni superano di molto i ricavi on-chain, il rischio di pressione di vendita è elevato.
Checklist operativa: presenza di liquidità bloccata o garantita, politiche di buyback documentate, curve di sblocco trasparenti, oracoli affidabili e limiti a rebase/mint. Attenzione ai “rewards” finanziati solo con nuova offerta: senza cash flow esterno (fee, servizi, licenze) si scivola in schema piramidale. Verificare la dipendenza da incentivi: se il modello crolla al termine degli incentive programs la sostenibilità è fragile.
Engineering: smart contract, permessi e audit
Il codice governa i fondi. Analisi minima degli smart contract uso di proxy upgradabili, chiavi di amministrazione, funzioni di pause o mint limiti a trasferimenti. Preferibile governance multisig con soglie chiare e policy di cambio chiavi. Verificare la presenza di audit indipendenti, programmi di bug bounty e test pubblici. L’assenza di repository o la pubblicazione a ridosso del lancio sono bandiere rosse.
Controlli on-chain essenziali: chi è l’owner del contratto, quali indirizzi hanno privilegi elevati, dove sono custodite le treasury come sono configurati i timelock. Un modello rapido: punteggio 0-5 per ciascuno tra audit, privilegio minimo, trasparenza repository, coverage test e resilienza (kill-switch con timelock). Sotto 12/25 il rischio operativo è alto e impone limiti d’esposizione.
Custodia dei fondi e governance della treasury
La custodia è il punto di fallimento più costoso. Fondi del protocollo e delle fee dovrebbero essere in cold storage o smart contract senza chiavi singole. Preferire multisig con firmatari indipendenti, politiche di rotazione, e log pubblici di proposte e transazioni. Verificare piani di business continuity assicurazioni e segregazione tra fondi operativi e capitali degli utenti.
Indicatori da monitorare: concentrazione di liquidità su un solo DEX, assenza di proof di riserve per asset custoditi, prelievi massivi dei fondatori, moduli di upgrade senza timelock. Per protocolli di lending: parametri di collateral realistici, oracoli ridondanti e limiti ai prestiti contro asset illiquidi. Per bridge e custodi centralizzati: audit multipli, monitoraggio 24/7, piani di incident response e attestazioni indipendenti ricorrenti.
Offerte e rendimenti sospetti: modelli per smascherarli
Un rendimento è credibile se esiste una fonte economica tracciabile. Applicare il modello YIELDY ield source (da dove arrivano i flussi), I ncentivi (quanto dipende da emissioni), E xposure (rischi di mercato/contratto), L iquidity (prelievi possibili), D uration (coerenza temporale). Se il payout supera strutturalmente i ricavi netti e non esistono fee o servizi esterni, il rischio di ponzi operativo è concreto.
Test pratici: stress di withdrawal su piccoli importi, verifica della coerenza tra APR dichiarati e volumi/fee on-chain, confronto tra TVL e liquidità estraibile in 24 ore. Diffidare di bonus depositi che raddoppiano in giorni, lock lunghi senza exit ragionevoli e marketing basato su influencer non tecnici. Documentare ogni step: senza traccia, non c’è accountability.
Workflow operativo: dal primo contatto al sizing dell’investimento
Un processo ripetibile tutela dal bias. Sequenza raccomandata: 1) Triage 20 minuti con checklist red flag; 2) Call con il team per domande su governance, chiavi e utilizzo dei fondi; 3) Revisione tokenomics con modello di emissioni e stress sui flussi; 4) Audit desk-based dei contratti e permessi; 5) Verifica custody/treasury e piani d’emergenza; 6) Definizione del position sizing in base al punteggio di rischio; 7) Monitoraggio continuo con trigger di uscita predefiniti.
Regole di prudenza: mai concentrazione eccessiva, limiti stretti su protocolli senza timelock divieto di depositi se l’owner è un EOA singolo, obbligo di test su rete minore prima di capitali reali. Quando il dubbio persiste, l’unico costo certo è il tempo: quello di un no vale più di un capitale bloccato senza ritorno.
