La due diligence nelle criptovalute è l’insieme di controlli tecnici, legali e operativi che consente di valutare l’affidabilità di un progetto o di un token. In termini semplici, si tratta di un processo sistematico per distinguere iniziative solide da schemi ingannevoli. Il principio guida è verificare prima di fidarsi, unendo analisi documentale, controlli del codice, riscontri su catena e valutazioni di governance. Questa guida illustra un percorso pratico, con checklist utilizzabili in modo ripetibile.
La due diligence è rilevante perché, tipicamente, l’informazione è asimmetrica e le promesse possono essere fuorvianti. Un approccio strutturato permette di filtrare rumore, identificare rischi e validare assunzioni. Verranno affrontati whitepaper e tokenomics composizione del team e governanceaudit e sicurezza degli smart contract metriche on-chain oltre alla verifica di exchange rendimenti promessi e licenze. L’obiettivo è fornire criteri replicabili e strumenti concreti per ridurre l’esposizione a frodi.
Whitepaper e tokenomics: checklist di sostanza
Il whitepaper dovrebbe spiegare problema, soluzione, architettura e ipotesi economiche con chiarezza. Indicatori positivi includono definizioni operative, diagrammi coerenti e un modello di token con utilità esplicitata. Segnali d’allarme: linguaggio vago, assenza di roadmap misurabile, grafici senza dati. Checklist minima: 1) definizione di valore e utenti chiave; 2) logica di emissione e distribuzione (tokenomics) con percentuali e periodi; 3) meccanismi di domanda e uso nel protocollo; 4) rischi dichiarati; 5) assunzioni testabili. Verificare che la distribuzione non concentri potere in poche entità e che i vesting siano tecnicamente vincolati su indirizzi identificabili.
Team, entità legali e governance verificabile
La composizione del team va validata con tracciabilità dei profili professionali e delle responsabilità. Sono preferibili identità verificabili, ruoli chiari e canali ufficiali coerenti. Checklist: 1) entità legali dichiarate con giurisdizione; 2) smart contract proprietari pubblicati con riferimenti; 3) repository di codice attivi con storico dei contributi; 4) meccanismi di governance (quorum, deleghe, processi di voto) documentati; 5) separazione dei poteri tra tesoreria e sviluppo. Diffidare di organigrammi opachi, deleghe illimitate sui fondi e multi-sig senza soglie chiare. Una governance credibile prevede diritti dei token holder definiti, criteri di proposta, tempistiche e possibilità di audit dei risultati on-chain.
Audit, bug bounty e sicurezza degli smart contract
Un audit indipendente non garantisce assenza di vulnerabilità, ma migliora la qualità. Verificare: 1) esistenza di report accessibili; 2) ambito dell’audit (contratti coperti, versioni, limitazioni); 3) severità e stato delle segnalazioni; 4) piani di remediation. Valore aggiunto arriva da programmi di bug bounty strutturati, politiche di disclosure e monitoraggio continuo. Controllare inoltre permessi amministrativi: chi può aggiornare il contratto, cambiare parametri, sostituire oracoli. Privilegi eccessivi sono un rischio. Eseguire un controllo di bytecode rispetto al sorgente pubblicato e usare scanner statici per rilevare pattern pericolosi (reentrancy, integer overflow, privilegi non limitati).
Metriche on-chain e liquidità: dati che non mentono
Le metriche on-chain consentono verifiche oggettive. Da controllare: 1) distribuzione dei token per indirizzo e concentrazione; 2) flussi verso e da contratti chiave; 3) profondità e stabilità della liquidità sugli exchange decentralizzati; 4) attività degli smart contract (transazioni, utenti unici, eventi). Un’elevata concentrazione in pochi wallet suggerisce rischio di manipolazione dei prezzi. Valutare i lock di liquidità e i tempi di sblocco. Confrontare volumi on-chain con annunci di partnership o listing: incoerenze ripetute indicano narrazione non supportata dai dati. Usare block explorer della rete di riferimento e dashboard analitiche per serie storiche verificabili.
Exchange, rendimenti promessi e licenze: verifiche essenziali
Per gli exchange verificare requisiti di identità, politiche di custodia, segregazione degli asset, prove di riserva e termini di servizio. Controllare la presenza di registrazioni presso registri pubblici pertinenti e l’esistenza di licenze coerenti con l’attività (custodia, cambio, servizi di pagamento). Sui rendimenti, diffidare di promesse fisse e non correlate al rischio. Checklist: 1) modello economico del rendimento (staking prestito, market making); 2) controparte e garanzie; 3) term sheet e rischi espliciti; 4) limiti di prelievo e lockup 5) meccanismi di liquidazione in caso di perdita. Rendimenti elevati senza spiegazione tecnica, audit o collaterale adeguato sono un segnale di allarme.
Strumenti pratici e flusso di lavoro replicabile
Un flusso ripetibile riduce errori. Procedura in 6 passi: 1) raccolta documenti (whitepaper, termini legali, audit, repository); 2) verifica identità e entità legali con registri pubblici; 3) controllo del codice con block explorer e strumenti di analisi statica; 4) analisi on-chain di liquidità, distribuzione, attività; 5) validazione di exchange e custodia (riserva, segregazione, compliance); 6) valutazione del rischio con checklist e punteggi. Strumenti utili: block explorer della rete, scanner di permessi degli smart contract, dashboard per volumi e liquidità, lettori di eventi on-chain e aggregatori di governance. Conservare log delle verifiche per confronto nel tempo.
Approfondimenti: schemi tipici, eccezioni e falsi positivi
Schema ricorrente: rug pull con liquidità controllata dal team e tokenomics sbilanciata; promessa di rendimenti fissi senza collateral verificabile; contratti upgradabili con funzioni amministrative illimitate. Le eccezioni esistono: team pseudonimi possono produrre software di qualità, ma necessitano di extra-verifiche su codice, audit e parametri on-chain. Falsi positivi capitano: un’elevata concentrazione iniziale può derivare da vesting trasparente e bloccato; una governance centralizzata in fase iniziale può essere prevista da una roadmap verificabile. La chiave è correlare ogni rischio a dati misurabili e a controlli tecnici indipendenti.
Un controllo diligente non elimina il rischio, ma lo rende misurabile. Quando la documentazione è scarsa, i permessi sono eccessivi e i dati on-chain non supportano la storia, la scelta prudente è rinviare o rifiutare. La disciplina della verifica, ripetuta nel tempo con checklist e strumenti adeguati, resta il miglior alleato contro le frodi.
