Truffe con false migrazioni e swap di token

Una truffa di migrazione dei token è una frode in cui dei criminali ti dicono che un token che possiedi deve essere «aggiornato», «migrato» o «scambiato» con una nuova versione, e poi ti mandano su un portale falso che svuota il tuo wallet tramite un’approvazione malevola, una firma o una richiesta della frase di recupero. La truffa funziona perché le migrazioni reali avvengono davvero, quindi la storia sembra plausibile.

I progetti cambiano legittimamente contratto per aggiornamenti, rebranding o passaggi a un’altra chain. Il passaggio di Polygon da MATIC a POL è un esempio noto di transizione autentica. Ogni migrazione reale apre una finestra in cui i possessori si aspettano istruzioni, e i truffatori corrono a riempirla con istruzioni false.

Perché le migrazioni reali aprono uno spiraglio

Ci sono motivi legittimi per cui un progetto potrebbe chiedere ai possessori di scambiare i token:

• Aggiornamenti del contratto. Un bug o una nuova funzionalità richiede un nuovo contratto del token.
• Rebranding e cambi di token. Un progetto sostituisce un token con un successore.
• Cambi di chain. Un token passa da una blockchain a un’altra, ad esempio da un ERC-20 alla mainnet proprietaria di un progetto.
• Ridenominazioni. L’offerta viene frazionata o accorpata, ad esempio 1 vecchio token diventa 100 nuovi.

Ognuna di queste situazioni crea confusione, e la confusione è redditizia per i truffatori. Molti possessori non seguono da vicino le notizie del progetto, quindi un messaggio convincente che dice «il vecchio token sta per essere ritirato» può sembrare un’informazione urgente e utile. Approfondimento: Phishing tramite annunci sui motori di ricerca.

Come funziona la truffa, passo dopo passo

1. 1Scegliere un bersaglio. I truffatori tengono d’occhio le migrazioni annunciate, oppure ne inventano una per un token popolare.
2. 2Costruire il portale. Copiano il design del sito del progetto su un dominio simile, con un pulsante «Migra» o «Riscatta V2».
3. 3Diffondere il link. Lo pubblicano nelle risposte agli account ufficiali, acquistano annunci sui motori di ricerca, inviano messaggi diretti su Telegram e Discord, distribuiscono tramite airdrop token senza valore il cui nome è un URL o si spacciano per personale di supporto.
4. 4Creare urgenza. I messaggi sostengono che il vecchio token «smetterà di funzionare» o «perderà tutto il suo valore» nel giro di poche ore.
5. 5Prendere i fondi. Il portale ti chiede di collegare il wallet e poi di approvare una spesa illimitata, firmare un messaggio permit o Permit2, inviare token a un «contratto di migrazione» o «convalidare» il wallet inserendo la frase di recupero.
6. 6Svuotare e riciclare. Appena firmi, un drainer automatico porta via i tuoi token, spesso in pochi secondi, e li suddivide su molti indirizzi.

Per saperne di più sui trucchi di firma coinvolti, consulta la nostra guida su ice phishing e firme permit.

Un esempio ipotetico

Quello che segue è un esempio illustrativo composito, non un caso reale.

Immagina un possessore di nome Sam che detiene un token DeFi di medie dimensioni. Una mattina Sam vede una risposta sotto il post ufficiale del progetto: «Promemoria: i token V1 verranno dismessi a mezzanotte UTC. Migra qui». Il link porta a un sito identico a quello del progetto, con una sola lettera cambiata nel dominio. Ne parliamo più nel dettaglio in WalletConnect falso e phishing con pop-up del wallet.

Sam collega un wallet e clicca su «Migra». Il wallet mostra una richiesta di approvazione del token per un importo illimitato. Sam pensa che sia normale per uno swap e conferma. Entro un minuto l’intero saldo del token lascia il wallet. Una seconda richiesta chiede poi a Sam di firmare un messaggio per «ricevere i token V2»; si tratta in realtà di un permit per un altro token nel wallet. Nessun token V2 arriva mai. Il vero progetto non aveva annunciato alcuna migrazione. Vedi anche: Siti di bridge falsi.

Checklist dei segnali d’allarme

Come verificare una migrazione autentica

1. 1Vai tu stesso alla fonte. Digita il dominio ufficiale del progetto o usa un segnalibro. Cerca una pagina sulla migrazione nella documentazione e nel blog ufficiali. La nostra guida su come verificare che un sito sia quello ufficiale del progetto spiega come fare.
2. 2Incrocia l’annuncio. Verifica che compaia sugli account social verificati del progetto e, idealmente, che sia riportato dagli exchange che quotano il token.
3. 3Controlla il tuo exchange. Se i tuoi token sono su un exchange, cerca il suo avviso ufficiale. Gli exchange di solito gestiscono lo scambio per i clienti.
4. 4Verifica il nuovo contratto. Confronta l’indirizzo del nuovo token nella documentazione ufficiale e su un block explorer, come descritto nella nostra guida per verificare l’indirizzo di contratto ufficiale di un token.
5. 5Leggi la transazione prima di firmare. Verifica che il contratto che stai approvando corrisponda al contratto di migrazione documentato e limita l’importo dell’approvazione quando possibile.
6. 6Aspetta se non sei sicuro. Le migrazioni autentiche raramente penalizzano chi si prende un giorno per verificare.

Cosa fare se ci sei cascato

Agisci in fretta, in quest’ordine:

1. 1Revoca le approvazioni. Usa uno strumento affidabile per revocare qualsiasi approvazione o permit concesso al contratto truffaldino. Vedi come revocare le approvazioni dei token.
2. 2Metti in sicurezza il wallet. Se hai inserito la frase di recupero, considera il wallet compromesso e sposta gli asset rimanenti in un wallet completamente nuovo con una nuova frase di recupero. Segui la nostra checklist su cosa fare subito se il tuo wallet è compromesso.
3. 3Raccogli le prove. Salva l’URL, gli screenshot, gli hash delle transazioni e gli indirizzi del truffatore.
4. 4Segnalalo. Avvisa il vero progetto, il fornitore del tuo wallet e la piattaforma su cui hai visto il link. Puoi anche segnalarci il sito e gli indirizzi tramite il nostro modulo di segnalazione truffe.
5. 5Attenzione alle truffe di recupero. Chi promette di recuperare i tuoi fondi a pagamento sta quasi sempre mettendo in atto una seconda truffa.

In sintesi

Le truffe di migrazione dei token sfruttano un processo reale: a volte i progetti scambiano o aggiornano davvero i propri token. La difesa è semplice ma rigorosa. Segui solo istruzioni di migrazione che hai trovato tu stesso sui canali ufficiali, verifica l’indirizzo del nuovo contratto, non condividere mai una frase di recupero e considera l’urgenza e i messaggi privati come campanelli d’allarme. Se una migrazione è autentica, sarà ancora lì dopo che avrai controllato.