Sicurezza nelle crypto: truffe frequenti, phishing, rug pull e attacchi reali agli exchange

A cura di Unicorn Private Research. Pubblicato il 27 ottobre 2026.

Come ci si protegge da truffe e attacchi nel mondo crypto? La maggior parte delle perdite non nasce dalla rottura della crittografia ma dall'inganno: siti falsi, falsi addetti all'assistenza, false piattaforme di investimento e autorizzazioni malevole. Le difese di base sono semplici: non condividere mai la seed phrase né un codice di accesso, contattare le società solo da indirizzi digitati o salvati da sé, usare un'app di autenticazione o una chiave fisica, verificare ogni indirizzo e ogni autorizzazione prima di firmare, e considerare un campanello d'allarme qualsiasi promessa di rendimento fisso o molto alto.

Le dimensioni del problema

L'Internet Crime Complaint Center (IC3) dell'FBI ha ricevuto nel 2025 181.565 denunce riguardanti criptovalute, con perdite dichiarate per circa 11,4 miliardi di dollari, il 22% in più del 2024; le sole frodi sugli investimenti in crypto valgono circa 7,2 miliardi di dollari, e le perdite passate dai bancomat crypto hanno raggiunto 389 milioni di dollari (rapporto IC3 2025, pubblicato nell'aprile 2026, nella sintesi di The Block). A questo si aggiungono i furti alle piattaforme: Chainalysis ha contato circa 2,17 miliardi di dollari sottratti ai servizi crypto nel solo primo semestre del 2025 (aggiornamento di metà anno di Chainalysis, luglio 2025).

Le truffe più frequenti

• Frode sugli investimenti: un contatto conosciuto sui social, su un'app di incontri o in un gruppo di messaggistica mostra profitti su una piattaforma dall'aspetto professionale, spinge a versare somme sempre maggiori e poi blocca i prelievi o chiede commissioni e tasse per sbloccarli. È la categoria più grande nei dati IC3.
• Phishing: email, SMS e risultati sponsorizzati nei motori di ricerca che copiano la pagina di un exchange o di un wallet per rubare credenziali, codici o seed phrase.
• Falso supporto: profili sui social o telefonate di finti addetti all'assistenza, spesso dopo che la vittima ha posto una domanda in pubblico, che chiedono accesso remoto, codici o un trasferimento su un cosiddetto wallet sicuro.
• Autorizzazioni malevole e wallet drainer: un sito chiede di firmare una transazione o un permesso che consente a un contratto di spostare i vostri token.
• Avvelenamento degli indirizzi: il truffatore invia un importo minimo da un indirizzo simile a uno che usate, sperando che lo copiate dalla cronologia.
• Rug pull: i creatori di un token o di un progetto raccolgono denaro e poi ritirano la liquidità o vendono le proprie quote, lasciando ai compratori token che non si possono rivendere a un prezzo significativo.
• Falsi omaggi e airdrop: promesse di raddoppiare quanto inviate, o token che per essere riscossi richiedono di collegare il wallet.
• Truffe del recupero: dopo una perdita, qualcuno si offre di recuperare i fondi in cambio di un anticipo.

Proteggere gli account

• Usate una password lunga e diversa per ogni exchange e per l'email collegata, conservata in un gestore di password.
• Preferite un'app di autenticazione o una chiave di sicurezza fisica ai codici via SMS, esposti allo scambio fraudolento della SIM; chiedete all'operatore di bloccare la portabilità del numero.
• Attivate le liste di indirizzi di prelievo autorizzati e i codici anti-phishing dove l'exchange li offre.
• Raggiungete l'exchange solo digitando l'indirizzo o da un segnalibro salvato, non da pubblicità o link ricevuti.
• Tenete aggiornati i dispositivi, installate wallet ed estensioni solo da store e link ufficiali e rimuovete le estensioni che non usate.

Proteggere la seed phrase e i wallet non custodial

• Scrivete la seed phrase offline, su carta o metallo, e non fotografatela né salvatela nel cloud.
• Non digitatela mai su un sito o in un modulo: un wallet la chiede solo quando lo ripristinate sul vostro dispositivo.
• Controllate sullo schermo del dispositivo l'indirizzo completo di destinazione, la rete e l'importo prima di confermare.
• Leggete che cosa state firmando; revocate le vecchie autorizzazioni sui token che non servono più.
• Tenete i patrimoni più grandi in conservazione cold o in un sistema multifirma e usate un wallet hot separato per l'uso quotidiano.

Attacchi reali a exchange e wallet

• Bybit, 21 febbraio 2025: circa 1,5 miliardi di dollari in ether sono stati sottratti da un cold wallet durante un trasferimento di routine; il 26 febbraio 2025 l'FBI ha attribuito il furto ad attori nordcoreani noti come TraderTraitor (FBI IC3). Secondo Chainalysis è stato circa il 69% dei fondi sottratti ai servizi nel primo semestre del 2025.
• Coinbase, maggio 2025: criminali hanno corrotto collaboratori dell'assistenza fuori dagli Stati Uniti per ottenere dati dei clienti, poi si sono spacciati per Coinbase per convincere i clienti a inviare fondi; la società ha rifiutato un riscatto di 20 milioni di dollari e ha stimato costi tra 180 e 400 milioni di dollari (modulo 8-K depositato presso la SEC, maggio 2025). Password e chiavi private non sono state compromesse.
• Trust Wallet, dicembre 2025: una versione malevola 2.68 dell'estensione per browser, pubblicata con una credenziale dello store sottratta, ha svuotato wallet per circa 7 milioni di dollari; la società ha annunciato i rimborsi (The Block, dicembre 2025).
• Ledger, giugno 2020: una violazione del database dell'e-commerce ha esposto circa 1 milione di indirizzi email e i dati di 9.500 clienti, poi usati per lettere ed email di phishing; dispositivi e fondi non sono stati coinvolti (Ledger, luglio 2020).
• FTX, novembre 2022: non un attacco informatico ma il crollo di un exchange che, secondo la denuncia della SEC del 13 dicembre 2022, aveva distratto i fondi dei clienti. Ricorda che il rischio di custodia comprende le condotte illecite oltre agli attacchi.

Se qualcosa va storto

Agite in fretta: spostate i fondi rimasti su un nuovo wallet con una nuova seed phrase, cambiate le password, revocate le autorizzazioni, contattate l'exchange dai canali ufficiali e denunciate alla polizia e, negli Stati Uniti, su ic3.gov. Conservate gli hash delle transazioni e gli screenshot. Diffidate di chiunque vi contatti dopo promettendo di recuperare il denaro a pagamento.

Sicurezza e Unicorn Club

Le stesse regole valgono per qualsiasi pagamento in crypto a una controparte: confermate l'indirizzo da un canale verificato e, nel dubbio, inviate prima una piccola somma di prova. Unicorn Club, il club per investitori accreditati organizzato da Unicorn Private LLC, accetta BTC, ETH, USDT e USDC (ERC-20) per i suoi club deal pre-IPO; la guida su come investire in società pre-IPO con le criptovalute descrive come vengono confermati i pagamenti.

Domande frequenti

Le crypto rubate si possono recuperare?

A volte, quando i fondi arrivano su un exchange che li blocca su richiesta delle forze dell'ordine, ma nella maggior parte dei casi un trasferimento confermato non si può annullare. La prevenzione conta più del recupero.

Come si riconosce una falsa piattaforma di investimento?

Segnali d'allarme: rendimenti che sembrano garantiti, pressione a versare di più, un contatto mai incontrato di persona, prelievi che richiedono commissioni aggiuntive e una società che non compare nel registro di nessuna autorità.

Basta un wallet hardware?

Protegge la chiave privata dal malware, ma non impedisce di rivelare la seed phrase o di approvare una transazione malevola. Funziona insieme a buone abitudini.

Guida collegata

• Come investire in società pre-IPO con le criptovalute attraverso Unicorn Club
• ETF su bitcoin ed ether e altri modi indiretti per investire in cripto
• I wallet crypto spiegati: custodial e non custodial, hot e cold, seed phrase
• Come comprare la tua prima criptovaluta, passo dopo passo
• Che cos'è un club deal? Come funzionano i club deal pre-IPO

Fonti

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022