Sicurezza nel web3

Proteggi te stesso e il tuo wallet dalle truffe più comuni nel web3.

Introduzione

La proprietà digitale è la grande novità del web3. Grazie a blockchain, criptovalute e NFT, il web3 restituisce agli utenti proprietà e potere. Per molti possedere online prodotti finanziari digitali è una cosa nuova, e questa mancanza di esperienza apre spazi a persone senza scrupoli che truffano e rubano gli asset altrui. Queste truffe funzionano così bene proprio perché quasi nessuno sa come sono fatte.

Ma non è solo il web3 a soffrirne: anche i servizi web2 come email e social sono pieni di truffe. Inoltre molti strumenti web3 restano legati a servizi web2 come conti bancari o exchange centralizzati, quindi proteggere anche quelli è importante. Complimenti, Explorer dell'Academy, per aver deciso di armarti delle conoscenze che ti proteggeranno mentre esplori il web3!

Questa lezione tratterà:

La sicurezza nel web2 e nel web3.
I modi più comuni in cui si perdono i fondi e come proteggersi.
Una strategia generale per la sicurezza dei wallet.
Come rimediare se si è vittima di una truffa.

Il denaro nel web2

Nel web2 sono le istituzioni a custodire il denaro delle persone. Per accedere ai propri soldi e usarli, l'utente deve dimostrare la propria identità a un'istituzione. Funziona come un conto in banca o un exchange centralizzato (CEX): servono un ID di accesso e una password.

Per arrivare al tuo denaro, chi truffa ha bisogno di questa combinazione ID + password. E poiché sono le istituzioni a doverlo proteggere, le transazioni fraudolente possono essere annullate, come quando si contesta un pagamento con carta di credito.

Il denaro nel web3

Nel web3 il denaro funziona in modo diverso. Somiglia di più a un portafoglio di contanti chiuso a chiave: una volta speso, il denaro è andato. La tua frase seed (quel gruppo speciale di parole segrete) sblocca le tue chiavi private, quindi chi la ottiene controlla il tuo wallet. Non darla mai a nessuno e non conservarla in digitale: foto e app per le note possono essere compromesse.

Ma la frase seed non è l'unico bersaglio: una sola firma dannosa (una transazione o un messaggio che approvi) può svuotare i tuoi token senza che nessuno veda mai la tua frase seed. Proteggi la tua frase seed e la tua firma.

Test di conoscenza 1

Vero o falso? Chi truffa può svuotare i token del tuo wallet convincendoti a firmare una transazione o un'approvazione dannosa, senza conoscere la tua frase seed.

[ ] Vero
[ ] Falso

Conservare la frase seed in sicurezza

Ci sono molti modi per conservare in sicurezza una frase seed, ma un buon inizio è tenerla su un supporto fisico (carta plastificata o simile) e riporla in una cassaforte a prova di acqua e fuoco, in casa tua. Non conservare una frase seed come foto o in altri modi digitali, nemmeno in un gestore di password.

Posti sbagliati dove tenere la frase seed:

In uno schedario
In un'app di note digitali
Sul posto di lavoro
In una foto digitale

Ovunque la conservi, assicurati che solo tu possa accedervi e che sia protetta da perdita e distruzione. Non si sa mai cosa può succedere in futuro!

Proteggi le tue password

Usare e gestire bene le password è una parte importante della vita quotidiana online.

Le password dovrebbero essere diverse per ogni singolo servizio web2 che usi: email, exchange centralizzati e qualunque altro account. È già un problema se qualcuno ottiene ID e password di un account, ma è molto peggio se quella combinazione apre tutti i tuoi account!

I gestori di password come 1Password, Bitwarden e KeePass conservano e cifrano molte password in modo sicuro; sanno anche creare nuove password ad alta sicurezza e salvarle da soli. All'utente basta ricordare una sola password principale.

Non conservare una frase seed web3 in un gestore di password: basta una sola violazione per perdere tutti i tuoi asset web3, e non c'è nessuno che possa recuperarli per te.

Test di conoscenza 2

Perché i gestori di password sono utili?

[ ] Basta ricordare la password principale per usarli.
[ ] Creano e conservano password forti e uniche.
[ ] Cifrano le password per tenerle al sicuro.
[ ] Tutte le risposte precedenti

Autenticazione a due fattori

L'autenticazione a due fattori, o 2FA, è un secondo livello di sicurezza web2.

A molti sono stati rubati account e credenziali nonostante password forti. I siti web2 (e anche i gestori di password) offrono spesso la 2FA: una prova da un altro dispositivo o app, oltre alla password.

Non tutte le 2FA sono uguali:

🥉 I codici via SMS sono l'opzione più debole: con l'ingegneria sociale i truffatori spostano il tuo numero sul loro telefono (SIM swap) e ricevono i codici. Meglio comunque che nessuna 2FA.

🥈 Le app di autenticazione (come Google Authenticator, 2FAS o Aegis) generano i codici sul tuo dispositivo: una buona scelta per quasi tutti gli account.

🥇 Le passkey e le chiavi di sicurezza fisiche (come YubiKey) sono lo standard migliore contro il phishing: legate al sito vero, su un falso non funzionano.

Test di conoscenza 3

Perché l'autenticazione a due fattori è così consigliata?

[ ] Con la 2FA attiva è impossibile violare un account.
[ ] Aggiunge un livello di sicurezza agli account web2.
[ ] Rende le password più forti.
[ ] Tutte le risposte precedenti

Truffe di ingegneria sociale

Sia nel web2 sia nel web3, chi truffa usa tecniche di phishing per farsi consegnare password e frasi seed, o per far firmare una transazione dannosa. Spesso finge di essere l'assistenza di un prodotto, “Ciao, qui è il supporto MetaMask”, oppure l'amministratore di una comunità, “Nuovo mint di NFT, esclusivo per la nostra comunità”.

Usa l'ingegneria sociale per mettere pressione. Per esempio:

“Il tempo sta per scadere!”, per farti sentire di corsa.
“Complimenti, hai vinto il nostro giveaway!”, per farti sentire scelto.
“Accesso anticipato al nostro pre-mint!”, per generare FOMO in chi viene truffato.

Paura di restare fuori

FOMO sta per “Fear Of Missing Out”, cioè la paura di restare fuori: quella sensazione di stress per cui perderai un grande vantaggio o un'occasione se non fai qualcosa adesso.

La difesa migliore contro la FOMO è semplicemente allontanarsi dal computer e prendersi una pausa. Sotto stress non si ragiona bene, ed è proprio per questo che la FOMO è uno strumento di truffa così efficace. Prendendo le distanze dalla situazione, diventa molto più facile riconoscere le truffe per quello che sono.

Test di conoscenza 4

Come usano l'ingegneria sociale i truffatori?

[ ] Fingendosi un'autorità di una comunità.
[ ] Mettendo pressione con tempi strettissimi.
[ ] Offrendo giveaway o NFT gratis per creare FOMO.
[ ] Tutte le risposte precedenti

Chi truffa ama i social e i server Discord dei progetti crypto, e di solito sposta la conversazione nei messaggi privati per non farsi notare dai membri esperti. Parla nei canali pubblici e non dare mai la tua frase seed a nessuno, né firmare nulla da un link ricevuto in privato.

Campanelli d'allarme sui social:

🚩 Errori di lingua e di grammatica.

🚩 FOMO: “Non perdere l'occasione!”

🚩 Identità false: un admin, l'assistenza, Vitalik Buterin, Elon Musk.

🚩 Rendimenti garantiti: nel mondo crypto non c'è nulla di garantito.

🚩 Link e offerte non richiesti, soprattutto nei messaggi privati.

Come restare al sicuro:

✅ Se per venderti un prodotto devono scriverti in privato, probabilmente non ti serve.

✅ Guarda quanti follower e membri ha il progetto, anche se non garantiscono legittimità, qualità o solidità.

✅ Verifica tutto con una fonte esterna, per esempio un altro account ufficiale del progetto.

✅ Se hai dubbi, chiedi a membri affidabili di una grande comunità di cui ti fidi, e chiedi in pubblico.

Token truffa e avvelenamento degli indirizzi

Ti compaiono token o NFT sconosciuti nel wallet? I token truffa vengono inviati a migliaia di wallet insieme, sperando che qualcuno provi a spostarli o venderli: così si attiva il codice dannoso nello smart contract del token, o la vittima finisce su un sito di phishing che chiede una frase seed o una firma dannosa. Meglio non interagirci affatto: lasciali stare o nascondili nel wallet.

Un trucco simile è l'avvelenamento degli indirizzi: arrivano micro trasferimenti da un indirizzo costruito per somigliare a uno che usi, con gli stessi caratteri iniziali e finali. Se poi copi un indirizzo dalla cronologia, rischi di prendere quello del truffatore.

Come proteggerti:

Non copiare gli indirizzi dalla cronologia delle transazioni.
Controlla più dei primi e degli ultimi caratteri.
Prima di un invio grosso, fai una prova con un piccolo importo.

Approvazioni dannose e firma alla cieca

Oggi la maggior parte dei fondi non si perde per frasi seed rubate, ma per firme concesse. I kit di phishing “svuota wallet” presentano una transazione o un messaggio dall'aria normale, che normale non è:

Approvazioni dannose: una sola transazione di approvazione può dare al contratto di un truffatore un'autorizzazione del token illimitata sui tuoi token o NFT.
Phishing delle firme: le approvazioni firmate senza gas (come Permit2) possono autorizzare trasferimenti di token, senza nessuna transazione.
Svuotamento per delega: una funzione recente dei wallet (EIP-7702) permette di installare codice sul tuo account con una sola firma; i truffatori ne abusano per svuotare i wallet in automatico.

Firmare quello che non si capisce si chiama firma alla cieca, e ci cascano anche i professionisti: nel febbraio 2025 l'exchange Bybit ha perso circa 1,5 miliardi di dollari approvando una transazione la cui schermata era stata manomessa.

Le tue difese: rallenta, leggi ogni richiesta di firma, tratta come ostile qualsiasi messaggio del tipo “verifica il tuo wallet” e usa un wallet che simula le transazioni prima della firma.

Test di conoscenza 5

Ricevi un messaggio privato: “Il tuo wallet va migrato: collegati su metamask-upgrade.app e firma per verificare i tuoi asset.” Il sito ti chiede di firmare un'approvazione senza gas. Che cosa non va?

[ ] Nulla: le firme sono gratis e non spostano fondi.
[ ] È pericoloso solo se digiti anche la frase seed.
[ ] È sicuro: l'assistenza contatta gli utenti in privato.
[ ] È phishing di firma: quella firma può svuotare i token.

Hardware wallet

Come ricorderai dalla lezione Le basi del wallet, un hardware wallet tiene le tue chiavi private su un dispositivo dedicato, lontano dal computer connesso a internet. Così i fondi sono molto più sicuri: nessun malware può leggere le chiavi e un ladro dovrebbe rubare il dispositivo e forzarlo. Fra i più diffusi ci sono Ledger, Trezor e Keystone. Comprali sempre direttamente dal produttore.

Puoi usare un hardware wallet anche attraverso wallet come MetaMask, unendo comodità e sicurezza hardware. Ledger ha scritto una guida su come configurarlo.

Un limite: un hardware wallet firma tutto ciò che approvi, quindi firmare alla cieca una transazione dannosa fa perdere comunque i fondi. Verifica sempre i dettagli sullo schermo del dispositivo prima di confermare.

Test di conoscenza 6

Vero o falso? Un hardware wallet protegge i tuoi fondi solo se verifichi ogni transazione prima di approvarla.

[ ] Vero
[ ] Falso

Strategie di wallet

Dopo aver aggiunto un hardware wallet, uno dei modi migliori per proteggere i fondi è distribuirli su più wallet. Ecco una strategia a compartimenti con tre wallet separati:

Wallet social: un hot wallet con pochi o zero fondi, per accessi, mint e prove di nuove dApp. Dai per scontato che tutto ciò che contiene si possa perdere.
Wallet operativo: un hot wallet per gli scambi e per i fondi che potresti dover spostare in fretta.
Wallet HODL: un hardware wallet per il lungo periodo, il HODL. Non usarlo mai con smart contract o siti che non conosci.

👍 PRO: la separazione fa sì che una truffa minacci solo i fondi di quel wallet, non tutto.

👎 CONTRO: è più complicato da seguire, ma molte app permettono di dare un nome ai wallet.

Test di conoscenza 7

Per più sicurezza consigliamo di tenere i tuoi fondi _______________ .

[ ] conservati in più airdrop
[ ] bloccati in più NFT
[ ] separati in più wallet
[ ] liquidi su più indirizzi

Rimediare a una truffa web2

Speriamo che tu non sia già caduto vittima di un truffatore. Se è successo, ci sono alcuni passi da fare per mettere di nuovo al sicuro i tuoi account.

Per una truffa che riguarda un servizio web2, come Gmail o Discord, dovresti:

Cambiare la password dell'account colpito.
Dove è disponibile, usare il pulsante “disconnetti ovunque” per buttare fuori i truffatori.
Attivare la 2FA: meglio una passkey o una chiave di sicurezza fisica, altrimenti un'app di autenticazione.
Segnalare la truffa al servizio coinvolto.
Assicurarti che anche il tuo account email sia sicuro.
Parlare della truffa con amici o membri fidati della comunità.

Rimediare a una truffa web3

Su Ethereum i contratti devono ricevere un permesso esplicito per spendere i token. L'autorizzazione del token è quanto hai permesso a un contratto specifico di spendere. Tenere le autorizzazioni basse riduce il rischio per i tuoi asset.

Nel web3 non c'è nessuno a capo dei protocolli a cui segnalare i truffatori, ma qualcosa puoi comunque fare:

Sposta subito i fondi rimasti nel wallet compromesso su un altro indirizzo, assicurandoti che il nuovo indirizzo abbia una frase seed diversa.
Controlla e revoca le tue autorizzazioni sui token con revoke.cash (funziona su molte reti) o etherscan.io/tokenapprovalchecker. Revocare costa gas; revoke.cash ha una guida passo passo.
Controlla anche la scheda “Delegations” di revoke.cash: se trovi una delega del wallet che non riconosci, rimuovila dalla tua app wallet.
In futuro usa un hardware wallet e verifica tutto ciò che firmi.
Avvisa gli altri segnalando la truffa alla comunità colpita.
Parla della truffa con amici o membri fidati della comunità, per capire come proteggere te stesso e gli altri in futuro.