La crescita delle criptovalute ha creato opportunità e, insieme, nuovi schemi di truffa sempre più sofisticati. Nel caos di token, DApp e rendite passive è facile cadere in rug pullphishing e promesse di investimenti garantiti. Questa guida operativa fornisce segnali d’allarme, checklist e procedure concrete per verificare i progetti, adottare wallet hygiene efficace e gestire il rischio su exchange e DeFi. Il principio è semplice: evitare decisioni impulsive e introdurre controlli ripetibili.
Negli ultimi cicli, i truffatori hanno affinato tecniche e canali: domini che differiscono dall’originale per una sola lettera, account che appaiono verificati, video manipolati con figure note e un uso sistematico dell’urgenza per indurre clic o firme. Ogni sezione propone metodi azionabili, con passaggi chiari e strumenti utili per smascherare la narrazione di sicurezza assoluta che spesso precede una perdita. Applicando queste routine, anche un investitore non tecnico può ridurre drasticamente l’esposizione a comportamenti opportunistici e scam organizzati.
Ultimo aggiornamento: 8 settembre 2026
Checklist anti rug pull: segnali tecnici da verificare
Il rug pull si manifesta quando i creatori drenano la liquidity pool o impediscono la vendita del token. Indicazioni pratiche: controllare la ownership del contratto e la presenza di funzioni come mint illimitato o honeypot. Verificare su scanner pubblici la percentuale di token in wallet singoli: concentrazioni oltre il 20-30% sono critiche. Esaminare il lock della liquidità (durata, provider, hash di transazione) e la presenza di proxy upgradabili senza governance. Assenza di audit affidabile o audit superficiali è un segnale d’allarme.
- Controllo proprietario contratto è renounced?
- Distribuzione token whale e team wallet trasparenti
- Liquidità lock verificabile e durata sufficiente
- Funzioni restrittive blacklist, fee dinamiche, trading limitato
Ulteriore controllo operativo: confrontare il lock della liquidità con la roadmap; se la durata è incompatibile con le milestone, il disallineamento è un segnale. In presenza di proxy upgradabili senza timelock o quorum, il rischio amministrativo cresce: considerare l’esposizione solo dopo governance documentata. Se i top holders includono insiders non dichiarati, scatta una revisione della tokenomics.
Phishing nel crypto: pattern ricorrenti e test rapidi
Il phishing punta a rubare seed phrase o autorizzazioni di spend. Pattern: domini con typo inviti urgenti su canali social, airdrop fasulli, estensioni wallet clonate. Regola operativa: mai inserire seed fuori dal wallet ufficiale, non firmare unknown approvals non cliccare link da DM. Test rapidi: aprire il sito digitando l’URL manualmente, confrontare certificato TLS, verificare su repository ufficiali le estensioni. Se una transazione richiede setApprovalForAll o infinite allowance senza motivo, interrompere e rivedere.
- Seed phrase offline, suddivisa e mai su servizi cloud
- Link controllo manuale URL e certificati
- Approvals consent limitato, revoche periodiche
- Estensioni installare solo da publisher verificati
Segnali di allarme aggiuntivi: urgenza ingiustificata nella call-to-action, richieste di password o seed, URL sospetti e moduli che imitano pagine note. L’uso di deepfake e testi privi di errori grammaticali rende meno utile affidarsi allo stile; verificare sempre il dominio e attivare 2FA dove disponibile. Perché i pattern cambiano per stagione e campagna, gli schemi possono variare: controllare le impostazioni di sicurezza del browser e del wallet prima di procedere.
Investimenti garantiti: come smascherare rendite fittizie
La promessa di rendimenti garantiti è incompatibile con la volatilità cripto. Schemi tipici: APY fuori scala senza rischio, referral aggressivi, termini vaghi su custodia e proof of reserves. Procedura: richiedere dettagli sul modello di rendimento (market making? lending? farming?), verificare la trasparenza dei risk disclosures e l’esistenza di limiti operativi. Assenza di revisione contabile, team non identificabile, o lock dei fondi senza chiave di uscita sono segnali da checklist. Se la rendita dipende da nuovi depositi, è struttura potenzialmente piramidale.
- APY realistico comparazione con benchmark di mercato
- Modello di business descritto e verificabile
- Custodia proof of reserves e segregazione fondi
- Uscita termini di rimborso chiari e fattibili
Ulteriori red flag: promesse di rendimenti elevati sicuri pressioni insistenti a depositare subito e difficoltà nel prelevare con richieste di versamenti aggiuntivi. La fretta è una leva tipica: diffidare di offerte “valide solo oggi” e di bonus condizionati. Se i canali di supporto risultano generici o non verificabili, ridurre o azzerare l’esposizione fino a chiarimenti documentati.
Verifica progetti: procedure e strumenti di controllo
Prima di allocare capitale in un progetto eseguire controlli standardizzati. Passi chiave: analizzare il whitepaper per coerenza tecnica, controllare l’on-chain del contratto con block explorer verificare audit da società note, valutare l’attività del GitHub (commit reali, issue risolte). Ricercare la governance (DAO, quorum, timelock), e la tokenomics (vesting, emissioni, utility). Cross-check della comunità: discussioni tecniche, bug disclosure, roadmap con milestone misurabili. Strumenti utili: scanner di honeypot piattaforme di risk scoring, tracker di DeFi TVL e aggregatori di audit.
- Whitepaper e roadmap coerenza con codice e rilasci
- Contratto funzioni critiche e permessi amministrativi
- Audit qualità, copertura e remediation delle vulnerabilità
- Tokenomics vesting e distribuzione non predatoria
In presenza di incongruenze, sospendere la decisione e richiedere evidenze. Gli orari dei rilasci e i dati operativi possono variare: verificare i canali ufficiali prima di aderire a IDO o launchpad. Se la governance è simulata e i multisig risultano inattivi, considerare il rischio elevato indipendentemente dal marketing.
Wallet hygiene: opsec, permessi e sicurezza
Una buona wallet hygiene riduce l’impatto di errori e attacchi. Regole operative: separare hot wallet per interazioni quotidiane e cold storage per riserve; usare hardware wallet con passphrase e PIN robusti; mantenere seed suddiviso e conservato in luoghi distinti. Limitare allowance e programmare revoche con strumenti di approval management. Attivare multisig per fondi di progetto o treasury. Aggiornare firmware, verificare l’address su display del device, confermare ogni firma leggendo i function selectors e le quantità. In caso di dubbio, operare con simulation prima della transazione reale.
- Separazione wallet hot per DApp, cold per risparmio
- Revoche periodiche allowances e spend superflui
- Multisig e passphrase protezione contro compromissioni
- Firmware e simulazione riduzione del rischio operativo
Quando disponibili, attivare autenticazione a due fattori sui servizi collegati e verificare le sessioni attive. Non condividere mai la seed phrase; i tentativi di social engineering includono supporti falsi, moduli KYC e finti reclami di sicurezza. In caso di dubbio, isolare il wallet e ruotare gli approvals.
Gestione del rischio su exchange e DeFi: regole operative
La gestione del rischio richiede disciplina. Su exchange centralizzati: attivare 2FA con app, whitelist di withdrawal address, controlli anti SIM swap e limitare la permanenza dei fondi. Preferire proof of reserves con liabilities dichiarate. In DeFi diversificare protocolli, evitare singola esposizione a smart contract non auditati, usare position sizing conservativo, impostare stop-loss dove possibile e monitorare oracle risk. Considerare il bridge risk e frammentare gli importi tra più bridge o rotte. Documentare ogni operazione in un registro di controllo per audit personale.
- 2FA, whitelist e anti SIM swap hardening dell’account
- Proof of reserves verifica della solidità dell’exchange
- Diversificazione DeFi ridurre il rischio di smart contract
- Bridge e oracoli valutazione di vettori di attacco
