Truffe legate alle criptovalute

Una telefonata da parte di qualcuno che sostiene di essere dell’assistenza clienti, un’opportunità di investimento promossa da un volto familiare o un credito che appare inaspettatamente nel proprio portafoglio. Ogni situazione può sembrare diversa, ma tutte possono portare allo stesso risultato: riveliamo informazioni sensibili, inviamo fondi o approviamo una transazione senza capire cosa comporti effettivamente.

Non è detto che si riesca a riconoscere una truffa dal nome di una criptovaluta o dall’aspetto di un’app. Ciò che conta di più è ciò che l’altra parte ci chiede di fare e quale accesso o controllo le concederemmo. Gli scenari seguenti evidenziano i momenti in cui possiamo fermare una truffa prima che si verifichino danni.

Concentrati su ciò che la truffa ti chiede di fare

Un malintenzionato potrebbe iniziare facendoci temere per la sicurezza del nostro conto, promettendo rendimenti eccezionali o guadagnandosi gradualmente la nostra fiducia. La pressione del tempo lascia poi meno spazio alla verifica. A volte l’autore della truffa chiede un altro deposito dopo settimane di comunicazione; altre volte, vuole che compiamo il passo decisivo nel giro di pochi minuti. Un atteggiamento professionale e la disponibilità a rispondere alle domande non sono, di per sé, prova che un’offerta sia legittima.

Nel valutare una situazione, torniamo quindi all’azione specifica che ci viene richiesta. Ci viene chiesto di condividere le credenziali di accesso, consentire l’accesso remoto a un dispositivo, trasferire denaro o firmare qualcosa in un wallet? La frase «è solo una fase di verifica» non spiega cosa comporterà effettivamente la conferma. Il divario tra ciò che viene promesso e ciò che l’azione richiesta consente di fare è spesso il segnale di allarme più importante.

Falsi servizi di assistenza che promettono di «proteggere» il tuo account

Qualcuno chiama, conosce il nostro nome e si presenta come rappresentante di un servizio di criptovalute. Afferma che il nostro account è stato compromesso. Ci viene detto di installare un software di accesso remoto e di trasferire le nostre criptovalute a un nuovo indirizzo che ci forniranno. Presumibilmente, questo proteggerà i fondi dal furto.

In questo scenario, ciò che viene presentato come una misura di sicurezza diventa un trasferimento di fondi effettuato su indicazione di uno sconosciuto. Conoscere il nostro nome o mostrare un numero di telefono familiare non garantisce l’identità di chi chiama. Coinbase, ad esempio, avverte che i truffatori possono falsificare numeri di telefono autentici e che il suo team di assistenza non richiede password, codici di verifica o trasferimenti verso indirizzi esterni.

Interrompiamo la chiamata e accediamo al servizio autonomamente tramite un’app che già conosciamo o un sito web verificato. Verifichiamo se vi siano problemi e contattiamo l’assistenza tramite un canale verificato in modo indipendente. Non utilizziamo il numero di telefono o il link fornito da chi chiama. Non riveliamo mai una frase di recupero o una chiave privata, nemmeno a chi promette semplicemente di “controllare” il nostro portafoglio.

Un «consulente finanziario» mostra i profitti sullo schermo

Dopo aver risposto a un annuncio, veniamo contattati da qualcuno che sostiene di essere un consulente finanziario. Ci offre il trading automatizzato di criptovalute e ci aiuta a creare un account. In questo esempio, depositiamo 20.000 CZK e, pochi giorni dopo, vediamo un saldo di 31.000 CZK. L’app sembra convincente e il consulente spiega prontamente cosa fare dopo.

Ma una cifra visualizzata in un’app non è prova che il patrimonio esista realmente. La Polizia della Repubblica Ceca descrive truffe in cui una piattaforma mostra profitti fittizi mentre l’autore del reato convince gradualmente la vittima a effettuare ulteriori depositi. Consentire un piccolo prelievo può anche aiutare a instaurare un clima di fiducia. Un tale prelievo, di per sé, non dimostra che i fondi rimanenti esistano o siano disponibili per il prelievo.

Quando tentiamo un prelievo più consistente, ci potrebbe essere richiesto di pagare un importo aggiuntivo a titolo di presunta tassa, costo assicurativo o commissione per lo sblocco del conto. In questo esempio, ci viene chiesto di inviare altri 8.000 CZK per accedere ai rendimenti già visualizzati. Richieste sempre più esorbitanti possono semplicemente aumentare le nostre perdite. Definire un pagamento «tassa» non lo rende legittimo.

Prima di effettuare il primo deposito, verifichiamo l’effettivo operatore e la sua autorizzazione a fornire il servizio regolamentato nei registri ufficiali. Controlliamo inoltre che l’identità della società corrisponda al sito web e ai recapiti attraverso i quali stiamo comunicando. Un truffatore potrebbe abusare del nome di un’azienda autentica; la Banca Nazionale Ceca (CNB) raccomanda pertanto di verificare sia la licenza del fornitore sia la sua identità effettiva. Una fotografia di un documento di autorizzazione o un link a un registro fornito dalla controparte non sostituisce una verifica indipendente.

Se ci troviamo già coinvolti in una situazione del genere, non inviamo altro denaro semplicemente per «salvare» il nostro deposito iniziale. Verifichiamo la richiesta indipendentemente dal presunto consulente. La pressione a contrarre un prestito o a nascondere l’investimento a familiari e amici è un altro motivo per fermarsi e riconsiderare la situazione.

Un sito web familiare ci chiede di effettuare nuovamente l’accesso

Cerchiamo un portafoglio o un servizio che utilizziamo regolarmente. Apriamo un risultato che mostra un logo familiare e il sito web ci chiede di effettuare l’accesso. Successivamente richiede la nostra frase di recupero, presumibilmente per aggiornare o verificare il portafoglio.

Si tratta di una tipica forma di phishing: un sito web fraudolento si spaccia per un servizio affidabile per ottenere informazioni sensibili. L’attacco non deve necessariamente iniziare con un’e-mail sospetta. Coinbase mette in guardia anche da annunci pubblicitari fraudolenti nei motori di ricerca, messaggi sui social media e false applicazioni decentralizzate. Una posizione elevata nei risultati di ricerca non garantisce quindi l’autenticità di un sito web.

Prima di inserire qualsiasi informazione, controlliamo il nome di dominio effettivo e l’origine dell’app. Non ci affidiamo a un link contenuto in un messaggio non richiesto o in un annuncio pubblicitario come unico mezzo di verifica. Non inseriamo mai una frase di recupero in un modulo aperto in risposta a una richiesta inaspettata. Se abbiamo davvero bisogno di ripristinare il nostro portafoglio, seguiamo le istruzioni verificate fornite dal gestore del portafoglio.

Una richiesta simile potrebbe provenire anche da un account appartenente a qualcuno che conosciamo. Verifichiamo i messaggi insoliti tramite un altro canale di comunicazione. Un linguaggio fluente, una voce familiare o un video convincente non sono una prova sufficiente dell’identità; anche l’intelligenza artificiale può essere utilizzata per imitarli.

Un portafoglio richiede la conferma di una presunta verifica

Un sito web promette una ricompensa per aver collegato il nostro portafoglio. Una volta effettuato il collegamento, sostiene che dobbiamo solo firmare una semplice richiesta di verifica. Tuttavia, il portafoglio mostra in realtà una richiesta di autorizzazione per accedere ai token che già possediamo.

Per determinati token e applicazioni blockchain, la cosiddetta «approvazione dei token» autorizza un indirizzo designato o uno smart contract a trasferire i token specificati fino a un limite concordato. Si tratta di un normale meccanismo tecnico, ma può anche essere oggetto di abuso. Un’autorizzazione illimitata non è, di per sé, prova di frode, ma può aumentare notevolmente le conseguenze del concedere l’approvazione alla parte sbagliata.

Supponiamo di possedere 1.000 token USDC su Ethereum e che un sito web offra una ricompensa di 25 USDC. Invece di limitarsi a erogare la ricompensa prevista, ci chiede l’autorizzazione ad accedere a tutti i nostri USDC. Questa discrepanza è il segnale di allarme fondamentale. Non approviamo la richiesta; verifichiamo invece perché tale autorizzazione sarebbe necessaria per l’azione promessa.

Collegarsi a un sito web, firmare un messaggio e concedere l’approvazione di un token non sono azioni intercambiabili.

L'assenza di una commissione di rete non significa che una firma non possa mettere a rischio i fondi. Alcuni meccanismi consentono di concedere autorizzazioni relative ai token tramite un messaggio firmato che può essere successivamente utilizzato sulla blockchain. Tale firma non deve essere automaticamente considerata come una richiesta di accesso innocua.

Se non ne comprendiamo le conseguenze, rifiutiamo la richiesta. Chiudere la pagina o disconnettere il wallet non revoca un'approvazione già concessa. MetaMask distingue esplicitamente tra la disconnessione da un'applicazione e la revoca dell'approvazione di un token.

Nel nostro portafoglio compare una ricompensa sconosciuta

Nel nostro elenco di asset troviamo un token che non abbiamo mai acquistato. Il suo nome o un messaggio di accompagnamento rimandano a un sito web dove, presumibilmente, possiamo richiedere un premio. Il sito ci chiede quindi di collegare un portafoglio, firmare un messaggio o effettuare un pagamento anticipato.

Ricevere un token sconosciuto non significa, di per sé, che qualcuno abbia il controllo delle nostre chiavi private. Tuttavia, il token potrebbe essere un’esca progettata per indurci a compiere ulteriori azioni. Coinbase mette in guardia dagli airdrop fraudolenti e dai token il cui trasferimento o la cui vendita sono limitati da regole nascoste degli smart contract. Il nome o il valore di un token visualizzato non garantisce quindi che l’asset possa effettivamente essere venduto in cambio di denaro.

Non visitiamo un sito web incorporato nel nome di un token non richiesto né firmiamo nulla a causa di esso. Se non riusciamo a stabilire l’origine del token, possiamo lasciarlo così com’è o nasconderlo nell’app. Una richiesta di effettuare prima un trasferimento per la “verifica dell’indirizzo” o per sbloccare un premio è un motivo per fermarsi. Esistono commissioni di rete legittime, ma il solo fatto di menzionarle non rende autentica un’offerta.

Un “esperto di recupero” promette di restituire i fondi persi

Dopo una precedente perdita, qualcuno che sostiene di essere uno specialista o un rappresentante legale ci contatta. Afferma di aver rintracciato i fondi, di conoscere i dettagli del caso e di poter recuperare il denaro. Innanzitutto, però, richiede un pagamento anticipato, una commissione per sbloccare i fondi o l’accesso al nostro portafoglio.

Potrebbe trattarsi di una frode di follow-up, comunemente nota come truffa del recupero. L’FBI mette in guardia dalle aziende che promettono di recuperare criptovalute rubate, riscuotono una commissione anticipata e poi smettono di rispondere o esigono ulteriori pagamenti. I truffatori potrebbero persino spacciarsi per persone legate alle autorità legali o alle forze dell’ordine.

Rintracciare il movimento dei fondi non equivale ad averne il controllo o a poterne imporre la restituzione. Un rapporto che elenca indirizzi e transazioni non dimostra quindi che chi lo ha redatto controlli il denaro. Non verifichiamo una promessa non richiesta di recupero garantito inviando un altro pagamento. Forniamo i dati rilevanti al servizio interessato e alla polizia e conserviamo i dettagli del nuovo contatto come parte del caso.

Verificate sia la fonte che le conseguenze prima di confermare

Gli scenari sopra descritti hanno in comune una semplice regola: verificare un messaggio o un’offerta attraverso un canale indipendente dalla persona che richiede l’azione. Un contatto diverso fornito dalla stessa persona potrebbe non costituire una verifica indipendente.

Prima di effettuare un pagamento, installare un software o firmare qualsiasi documento, dovremmo porci alcune domande:

Abbiamo avviato noi stessi questa azione o stiamo rispondendo a una richiesta non richiesta?

Cosa riveleremmo esattamente all’altra parte o cosa le permetteremmo di fare?

L’effetto dell’azione richiesta corrisponde a ciò che stiamo cercando di ottenere?

Abbiamo verificato l’identità e i termini indipendentemente dai link e dai dettagli di contatto forniti?

Possiamo rimandare la decisione e prenderci del tempo per verificare le informazioni?

Un singolo segnale di allarme non prova necessariamente la frode. Tuttavia, non è necessario stabilire l’intenzione criminale prima di rifiutare una richiesta poco chiara. È sufficiente che non sia possibile verificarne l’origine o spiegare ragionevolmente perché sia necessario l’accesso ai nostri fondi.

Se abbiamo già risposto

Interrompiamo l’invio di denaro e smettiamo di seguire le istruzioni della persona sospetta. Se l’incidente riguarda un bonifico bancario, una carta di pagamento o l’accesso all’online banking, contattiamo immediatamente la nostra banca. Contattiamo inoltre il fornitore di servizi di criptovaluta in questione attraverso i suoi canali ufficiali. Agire rapidamente può limitare ulteriori danni, sebbene l’esito non possa essere garantito.

Il passo successivo dipende dalle azioni già intraprese. Se sono state divulgate una password o un codice di verifica, mettiamo in sicurezza l’account utilizzando un dispositivo affidabile e controlliamo i dispositivi collegati e l’indirizzo e-mail di recupero. Se un computer è stato compromesso, non utilizziamo lo stesso dispositivo potenzialmente non sicuro né la stessa via di accesso per modificare i dettagli dell’account.

Se abbiamo concesso un’approvazione tramite token, dobbiamo verificare e, se del caso, revocare quella specifica autorizzazione sulla rete in questione. Per i messaggi firmati, la soluzione dipende dal tipo di firma: una revoca standard dell’approvazione potrebbe non risolvere ogni richiesta firmata. Consultiamo la documentazione verificata relativa al portafoglio che utilizziamo, anziché seguire un link di “ripristino” appena fornito.

Se una frase di recupero o una chiave privata è stata compromessa, cambiare la password dell’app non è sufficiente. Potrebbe essere necessario mettere al sicuro eventuali fondi rimanenti utilizzando nuove chiavi generate in modo indipendente in un ambiente affidabile, e dovremmo smettere di utilizzare il portafoglio compromesso. Se i fondi in arrivo scompaiono immediatamente, non inviamo ciecamente altra criptovaluta per coprire le commissioni di transazione: un programma automatizzato controllato dall’autore dell’attacco potrebbe stare prosciugando il portafoglio.

Conserviamo i messaggi, gli indirizzi dei siti web e i dettagli di pagamento, compresi gli identificatori delle transazioni in criptovaluta. Segnaliamo le attività criminali sospette alla Polizia della Repubblica Ceca. Non aspettiamo un rimborso promesso o una risposta dal presunto consulente. Il senso di imbarazzo non deve ritardare le misure che potrebbero aiutare a prevenire ulteriori perdite.

Conclusione

Le truffe sulle criptovalute spesso hanno successo quando qualcuno accetta la spiegazione di un malintenzionato senza valutare le conseguenze delle proprie azioni. Una presunta protezione dell’account potrebbe significare trasferire denaro a uno sconosciuto; una promessa di rendimenti potrebbe condurre a una piattaforma fasulla; e una verifica del portafoglio apparentemente di routine potrebbe concedere autorizzazioni pericolose.

La difesa più efficace consiste nel fermarsi prima di compiere l’azione decisiva e verificarla in modo indipendente. Un logo familiare, una voce convincente o un saldo in aumento sullo schermo non sono sufficienti. Dobbiamo sapere chi sta realmente effettuando la richiesta e cosa stiamo consentendo confermandola.

Se abbiamo già condiviso informazioni o inviato fondi, i nostri passi successivi dovrebbero riflettere la natura dell’esposizione. Mettere immediatamente in sicurezza un conto, contattare la banca o il fornitore del servizio e conservare le prove sono azioni più importanti che pagare l’ennesima commissione per un recupero promesso.