Una transazione crypto può diventare irreversibile in pochi secondi, mentre un dominio contraffatto, un indirizzo sostituito o una rete selezionata per errore possono sembrare perfettamente normali fino alla conferma finale. Questa verifica pre-operativa serve a intercettare le incongruenze prima dell’invio, non a certificare che un servizio sia sicuro.
La procedura funziona in due passaggi. Il primo controlla il contesto dell’operazione: sito, direzione dello scambio, asset, rete, condizioni e provenienza delle informazioni. Il secondo ripete il confronto dei dati critici immediatamente prima dell’azione irreversibile.
Nessuna checklist elimina ogni rischio. Un sito può essere compromesso, un dispositivo può contenere malware e le condizioni operative possono cambiare. Se un dato non può essere verificato in modo indipendente, l’operazione va sospesa finché il dubbio non viene risolto.
Controllo rapido: i segnali che impongono uno stop
Prima di leggere condizioni, tassi o istruzioni, cerca questi segnali. Ne basta uno per interrompere l’operazione e ricominciare la verifica da un canale affidabile.
- Il dominio contiene lettere sostituite, trattini inattesi, sottodomini ingannevoli o un’estensione diversa da quella conosciuta.
- Il sito è stato aperto da un messaggio privato, un annuncio sponsorizzato, un QR code non verificato o un link ricevuto da un presunto operatore dell’assistenza.
- Viene richiesta la seed phrase, una chiave privata, il file di backup del wallet o l’installazione di un software di controllo remoto.
- Qualcuno promette rendimento garantito, raddoppio dei fondi, bonus subordinato a un deposito urgente o recupero certo di una transazione.
- L’indirizzo visualizzato cambia dopo averlo copiato, non coincide con quello mostrato nel riepilogo oppure appartiene a una rete diversa.
- Il servizio invita a ignorare un avviso del wallet, a disattivare protezioni o a scegliere una rete “equivalente” senza documentazione verificabile.
- Direzione, asset, rete, importo o risultato atteso cambiano senza una nuova conferma esplicita.
Le pagine di phishing possono imitare un servizio reale e chiedere credenziali, password o recovery phrase. La documentazione di Ethereum ricorda che nessun servizio legittimo dovrebbe richiedere seed phrase o chiavi private e che una transazione inviata sulla rete non può essere semplicemente annullata. [1]
Scheda di controllo, primo passaggio: verificare il contesto
Questo passaggio va completato prima di creare o finanziare una richiesta di scambio. L’obiettivo è accertare che l’operazione descritta dal sito sia la stessa che intendi eseguire.
| Cosa verificare | Conferma indipendente | Cosa significa una discrepanza |
|---|---|---|
| Dominio esatto. Controlla ogni carattere, l’estensione e l’assenza di sottodomini sospetti. Il lucchetto del browser, da solo, non dimostra che il servizio sia autentico. | Apri il sito da un segnalibro creato in precedenza o digita direttamente un indirizzo già verificato. Confrontalo con comunicazioni autentiche conservate separatamente. Passare il cursore sopra un collegamento prima di aprirlo aiuta a vedere la destinazione effettiva. [2] | Una sola lettera diversa può indicare un clone. Non correggere il dominio all’interno della pagina: chiudila e riparti da una fonte affidabile. |
| Origine della sessione. Ricostruisci come sei arrivato alla pagina: ricerca, messaggio, pubblicità, social network, QR code o segnalibro. | Confronta il dominio con una fonte già nota e raggiunta senza usare il link ricevuto. Un messaggio inatteso che propone investimenti o invia a una piattaforma sconosciuta è un forte segnale di truffa. [3] | Se l’unica prova di autenticità proviene dalla stessa persona che chiede il trasferimento, manca una verifica indipendente. |
| Direzione dello scambio. Verifica quale asset stai inviando e quale dovresti ricevere. | Confronta il modulo iniziale, il riepilogo della richiesta e i dati mostrati dal wallet. Tutti devono indicare la stessa direzione. | Asset invertiti o modificati possono derivare da un errore, da una pagina non aggiornata o da una manipolazione. Non inviare fondi. |
| Disponibilità effettiva. Controlla che asset, coppia e direzione siano attivi in quel momento. | Il servizio supporta USDT, BTC, ETH, DAI, LTC, BNB, XMR e TRX e può aggiungere progressivamente altri asset, ma ciò non implica che ogni coppia o direzione sia disponibile. Verifica sempre nel modulo operativo prima di creare la richiesta. | Se una pagina esterna promette una combinazione non presente nel servizio, potrebbe essere obsoleta o contraffatta. Non usare indirizzi forniti fuori dal flusso verificato. |
| Funzioni realmente disponibili. Distingui le operazioni attive da quelle soltanto annunciate o pianificate. | Lo scambio tra rubli da carta bancaria e criptovalute, in entrambe le direzioni, è una funzione pianificata e non va considerata già operativa. | Una pagina che presenta questa funzione come attiva o richiede subito dati della carta non è coerente con le informazioni disponibili: interrompi la procedura. |
| Asset e ticker. Leggi il nome completo dell’asset, non soltanto il simbolo o il logo. | Confronta il ticker con la documentazione ufficiale del progetto e con l’asset selezionato nel wallet. Fai attenzione a token con nomi simili o rappresentazioni su reti differenti. | Un simbolo familiare non prova che il contratto o l’asset siano quelli corretti. Se esiste un contract address, deve essere confrontato carattere per carattere con una fonte ufficiale. |
| Rete blockchain. Verifica la rete richiesta per il deposito e quella utilizzata dal wallet di invio. | Confronta il nome della rete in tre punti: pagina della richiesta, schermata di prelievo e documentazione ufficiale del wallet o dell’asset. Non dedurre la rete dal solo formato dell’indirizzo. | La stessa criptovaluta può esistere su infrastrutture diverse. Se le reti non coincidono esattamente, non procedere: il recupero potrebbe essere impossibile o dipendere da condizioni non prevedibili. |
| Memo, Tag o identificatore aggiuntivo. Accerta se il deposito richiede un valore oltre all’indirizzo. | Controlla il riepilogo della richiesta e le istruzioni del wallet. Se il campo è previsto, verifica se è obbligatorio e copia soltanto il valore associato alla richiesta corrente. | Un Memo o Tag mancante, errato o recuperato da una vecchia operazione può impedire l’attribuzione automatica del deposito. |
| Condizioni economiche visibili. Leggi importo da inviare, importo indicativo o finale da ricevere, commissioni mostrate e regole applicabili alle variazioni. | Confronta la pagina iniziale con il riepilogo generato prima del pagamento. Conserva una registrazione non sensibile delle condizioni mostrate. | Se il risultato cambia senza spiegazione o non è possibile capire quale valore verrà applicato, serve un chiarimento prima del trasferimento. La volatilità può influire sul valore degli asset e nessuna previsione di prezzo è garantita. [4] |
| Requisiti di verifica. Controlla quali controlli possono essere richiesti per la specifica direzione. | Consulta le condizioni visualizzate prima della creazione della richiesta. I requisiti possono dipendere dalla direzione dell’operazione e dai risultati delle verifiche di compliance. | Se le condizioni non sono comprensibili, cambiano durante la procedura o vengono comunicate soltanto da un contatto esterno, sospendi e chiedi chiarimenti tramite il canale ufficiale. |
| Pressione e promesse. Individua countdown artificiosi, rendimenti garantiti, richieste di un secondo pagamento o promesse di fondi moltiplicati. | Confronta l’offerta con gli avvisi dei regolatori. La FTC segnala come fraudolente le promesse di profitto garantito, grandi rendimenti senza rischio e moltiplicazione delle criptovalute inviate. [4] | Non è una condizione commerciale da negoziare. È un motivo per fermarsi e non inviare denaro. |
Scheda di controllo, secondo passaggio: prima della conferma irreversibile
Il secondo passaggio non deve riutilizzare automaticamente ciò che ricordi. Riprendi i dati dalla richiesta corrente e confrontali con la schermata finale del wallet. Fallo dopo aver incollato l’indirizzo e subito prima di autorizzare la transazione.
| Cosa verificare | Conferma indipendente | Cosa significa una discrepanza |
|---|---|---|
| Indirizzo di destinazione completo. Non limitarti ai primi e agli ultimi caratteri. | Confronta l’indirizzo mostrato dal wallet con quello della richiesta corrente. Verifica più gruppi di caratteri lungo tutta la stringa, preferibilmente sul display del dispositivo che firma la transazione. | Qualsiasi carattere diverso può indicare un errore di copia, un vecchio indirizzo o un malware che sostituisce il contenuto degli appunti. Cancella il campo e interrompi l’operazione. |
| Rete selezionata. Ripeti il controllo anche se era corretta nel primo passaggio. | Leggi il nome completo della rete nella schermata finale del wallet e confrontalo con la richiesta, senza affidarti a colori o loghi. | Una rete differente non è un dettaglio tecnico secondario. Non confermare e non presumere che il destinatario possa recuperare i fondi. |
| Memo o Tag. Verifica presenza, posizione e valore esatto, quando richiesto. | Confrontalo con il dato associato alla stessa richiesta e non con una cronologia, uno screenshot precedente o una conversazione. | Se il wallet non supporta il campo richiesto o il valore non coincide, occorre chiarire la procedura prima dell’invio. |
| Importo da inviare. Controlla unità, decimali e asset utilizzato per pagare le commissioni di rete. | Confronta il valore del wallet con quello indicato nella richiesta. Distingui l’importo destinato al servizio dalla commissione applicata dalla rete o dal wallet. | Un separatore decimale errato, un importo ridotto dalla commissione o l’asset sbagliato possono produrre un pagamento insufficiente o non riconoscibile. |
| Importo finale o criterio di calcolo. Verifica ciò che il riepilogo dichiara come risultato dell’operazione. | Confronta il riepilogo corrente con le condizioni lette nel primo passaggio. Se il valore è variabile, deve essere chiaro quale regola lo determina. | Un risultato diverso non va accettato per inerzia. Torna indietro e verifica se sono cambiati importo, rete, commissioni o condizioni. |
| Indirizzo di ricezione. Se devi ricevere criptovaluta, controlla che il wallet destinatario sia sotto il tuo controllo e supporti l’asset sulla rete scelta. | Apri direttamente il wallet, seleziona asset e rete corretti e confronta l’indirizzo con quello inserito nella richiesta. | Un indirizzo appartenente a un’altra rete, a un altro account o a un intermediario non previsto richiede l’annullamento della procedura prima del pagamento. |
| Autorizzazione richiesta dal wallet. Leggi cosa stai firmando: trasferimento, approvazione di token o interazione con uno smart contract. | Confronta il tipo di azione con lo scopo dichiarato dell’operazione. Una semplice richiesta di pagamento non dovrebbe trasformarsi senza spiegazioni in un’autorizzazione ampia a spendere token. | Se la schermata di firma non corrisponde all’azione prevista o mostra dati incomprensibili, rifiuta la firma. |
| Ultima verifica del dispositivo. Osserva eventuali variazioni avvenute dopo il copia e incolla. | Ricontrolla indirizzo, rete e importo sul dispositivo che autorizza la transazione. Se possibile, confronta i dati senza passare nuovamente dagli appunti. | Un cambiamento dell’ultimo secondo è compatibile con un errore o una compromissione del dispositivo. Non tentare subito una seconda operazione dallo stesso ambiente. |
Completata la doppia verifica, un possibile passo successivo è controllare le condizioni aggiornate dello scambio. La pagina operativa deve comunque coincidere con dominio, asset, direzione e rete già verificati.
Come classificare l’esito senza creare false certezze
Si può continuare con la verifica
Tutti i dati coincidono, il dominio è stato raggiunto da un percorso affidabile, la rete è supportata, indirizzo e Memo o Tag sono stati ricontrollati e la schermata di firma descrive l’azione prevista. Questo esito consente di proseguire, ma non rappresenta una garanzia contro guasti, compromissioni o variazioni successive.
Serve un chiarimento
Le condizioni sono incomplete, il risultato atteso non è spiegato, la coppia non appare disponibile, non è chiaro se serva un Memo o le verifiche di compliance non sono definite per quella direzione. Non inviare fondi mentre la richiesta è ambigua. Chiedi chiarimenti solo attraverso un canale raggiunto dal dominio verificato e ripeti entrambi i passaggi dopo ogni modifica.
Bisogna fermarsi
Il dominio non coincide, viene richiesta una seed phrase, l’indirizzo cambia, la rete è diversa, compare una promessa di rendimento garantito oppure un presunto operatore chiede di trasferire fondi a un nuovo indirizzo via chat. Chiudi la pagina, non firmare e non utilizzare nuovamente i dati ricevuti.
Le minacce da riconoscere prima dell’invio
Phishing e copie del servizio
Un falso sito può riprodurre logo, testi, chat e interfaccia di un operatore autentico. Anche la presenza di HTTPS non dimostra che il dominio appartenga al servizio imitato.
La difesa più efficace è separare il canale che propone l’operazione da quello usato per verificarla. Se ricevi un link in chat, non usare la stessa chat come prova della sua autenticità. Apri il dominio conosciuto in modo autonomo e controlla se la richiesta esiste davvero.
Sostituzione dell’indirizzo
Alcuni malware monitorano gli appunti e sostituiscono un indirizzo crypto copiato con quello dell’attaccante. L’indirizzo fraudolento può mantenere caratteri iniziali o finali simili per superare un controllo frettoloso.
Dopo l’incolla, confronta più segmenti dell’intera stringa e controlla nuovamente il dato sul dispositivo di firma. Se l’indirizzo cambia, considera il dispositivo potenzialmente compromesso e non limitarti a incollarlo una seconda volta.
Rete sbagliata
Il ticker dell’asset non identifica sempre la rete. Due schermate possono mostrare lo stesso simbolo ma riferirsi a infrastrutture differenti. Il confronto deve quindi includere asset, rete, eventuale contract address e compatibilità del wallet destinatario.
Non inviare una transazione di prova su una rete che non è stata confermata: un importo ridotto non corregge l’incompatibilità tecnica.
Furto della seed phrase
La seed phrase permette di ricostruire il wallet e può dare accesso ai fondi. Non deve essere inserita in moduli di assistenza, pagine di verifica, bot, cloud, messaggi o applicazioni suggerite da sconosciuti. Ethereum.org raccomanda di non condividerla mai e avverte che screenshot e copie sincronizzate online possono esporla. [1]
Se una seed phrase è stata comunicata o inserita in un sito sospetto, non è sufficiente cambiare la password dell’interfaccia. Il wallet va considerato compromesso; occorre usare un ambiente affidabile e seguire le procedure di sicurezza del relativo wallet, senza affidarsi a presunti “agenti di recupero”.
Rendimento garantito e falsi sblocchi
Uno scambio operativo non equivale a un investimento garantito. Promesse di profitto certo, rendimenti senza rischio, moltiplicazione dei token o pagamenti aggiuntivi per “sbloccare” guadagni sono segnali tipici di frode. I truffatori possono mostrare saldi fittizi e chiedere nuovi depositi quando l’utente tenta di prelevare. [4]
Il percorso di controllo nelle tre fasi
Prima dell’operazione
- Raggiungi il dominio senza usare collegamenti inattesi.
- Completa il primo passaggio della scheda.
- Verifica disponibilità di direzione, asset e rete.
- Leggi condizioni e requisiti applicabili alla richiesta corrente.
- Completa il secondo passaggio sul dispositivo che autorizzerà la transazione.
Durante l’attesa
Non creare subito una seconda richiesta e non ripetere il pagamento soltanto perché il saldo non è ancora visibile. Recupera il txid dal wallet e controllalo nell’explorer corretto per la rete utilizzata.
Distingui tra transazione non trasmessa, in attesa, confermata o fallita. Lo stato mostrato dal sito non sostituisce quello registrato sulla blockchain. Evita inoltre di condividere in gruppi pubblici screenshot completi, dati personali o dettagli che non servono alla diagnosi.
Dopo la conferma
Confronta asset, importo ricevuto, rete e indirizzo di destinazione con la richiesta. Se la blockchain mostra una conferma ma il servizio non aggiorna lo stato, non inviare un pagamento supplementare: prepara invece i dati tecnici non segreti necessari all’assistenza.
Se lo stato è in ritardo, l’importo non coincide o i dati sono cambiati
Una diagnosi ordinata riduce il rischio di aggravare il problema. Non garantisce il recupero dei fondi, soprattutto quando indirizzo o rete sono errati.
- Controlla il wallet. Verifica se la transazione ha un txid. Se non esiste, potrebbe non essere stata trasmessa alla rete.
- Apri l’explorer della rete corretta. Cerca il txid e leggi stato, blocco, indirizzo destinatario, asset e importo. Non usare un explorer indicato da un interlocutore sconosciuto senza verificarne l’autenticità.
- Confronta la richiesta. Controlla se identificatore, indirizzo di deposito, rete e importo coincidono con quelli registrati nella transazione.
- Verifica Memo o Tag. Se era richiesto, accerta che sia stato trasmesso correttamente.
- Escludi una seconda operazione automatica. Non inviare differenze, “commissioni di sblocco” o un nuovo deposito finché non hai ricevuto una spiegazione verificabile.
- Contatta l’assistenza dal dominio controllato. Fornisci identificatore della richiesta, txid, orario approssimativo, asset, rete e descrizione dell’anomalia. Non fornire seed phrase, chiavi private o password.
Se l’indirizzo visualizzato è cambiato rispetto a quello iniziale, conserva le prove non sensibili, interrompi l’uso del dispositivo per ulteriori trasferimenti e avvia una verifica di sicurezza. Se hai già comunicato credenziali o informazioni personali, modifica le credenziali riutilizzate partendo da un dispositivo affidabile e applica le procedure previste dai servizi coinvolti.
Protocollo minimo di registrazione
Conserva soltanto i dati necessari a ricostruire l’operazione e a dialogare con l’assistenza:
- identificatore della richiesta;
- txid della transazione;
- data e ora approssimative;
- asset e rete utilizzati;
- importo inviato e risultato mostrato nel riepilogo;
- stato osservato nell’explorer;
- eventuali schermate redatte, prive di dati personali o segreti;
- testo delle comunicazioni rilevanti con l’assistenza ufficiale.
Non archiviare nello stesso fascicolo seed phrase, chiavi private, password, codici di autenticazione o documenti personali non necessari. Il controllo si considera concluso solo quando i dati registrati descrivono la stessa operazione su richiesta, wallet ed explorer; in caso contrario, resta valida la regola più prudente: fermarsi e chiarire prima di effettuare un nuovo trasferimento.