Phishing con falso WalletConnect e pop-up di wallet: come funziona e come proteggersi

Il phishing WalletConnect è una truffa in cui un sito web falso mostra una finta finestra «connetti wallet» o un pop-up di wallet per indurti a digitare la tua frase di recupero o a firmare una transazione malevola. Il vero protocollo WalletConnect non chiede mai la tua frase di recupero; si limita a inoltrare richieste di connessione e transazioni alla tua app di wallet, dove sei tu ad approvarle.

Queste truffe funzionano perché collegare un wallet è diventato un’abitudine. Si ripete lo stesso flusso decine di volte, quindi un’imitazione convincente passa inosservata. Sapere com’è il flusso autentico è la difesa migliore.

Come funziona il vero flusso di connessione di un wallet

Capire il processo legittimo rende più facile individuare i falsi:

1. 1Visiti un’app decentralizzata e clicchi su «Connetti wallet».
2. 2L’app mostra un elenco di opzioni, come un’estensione del browser o WalletConnect.
3. 3Se scegli WalletConnect, l’app mostra un codice QR oppure, su mobile, apre la tua app di wallet tramite un deep link.
4. 4La tua app di wallet mostra il nome e il dominio del sito e ti chiede di approvare la connessione.
5. 5Più tardi, quando compi un’azione, il wallet mostra la transazione o la richiesta di firma e tu la approvi o la rifiuti.

In nessun momento l’app ha bisogno della tua frase di recupero o della chiave privata. Tutto ciò che è sensibile resta all’interno del wallet. La nostra guida su permessi del wallet e siti connessi spiega cosa consente e cosa non consente una connessione. Per approfondire, vedi Hardware wallet manomessi e falsi.

Come funziona la truffa, passo dopo passo

Variante 1: furto della frase di recupero

1. 1L’esca. La vittima vede un messaggio che segnala un problema: «il tuo wallet non è sincronizzato», «claim non riuscito, convalida il tuo wallet» oppure «migra i tuoi token». I link arrivano tramite risposte sui social, falsi account di supporto, annunci o email.
2. 2Il sito falso. La pagina sembra un sito neutrale di «strumenti per wallet» o di «rettifica dapp», spesso con il marchio WalletConnect e una griglia di loghi di wallet.
3. 3Il finto errore. Cliccando sul logo di un wallet compare un finto indicatore di caricamento, poi un errore: «Connessione automatica non riuscita. Connettiti manualmente.»
4. 4Il furto. L’opzione «manuale» chiede le tue 12 o 24 parole di recupero, una chiave privata o un file keystore. Qualunque cosa inserisci viene inviata al truffatore, che svuota il wallet in pochi minuti.

Variante 2: firme malevole

Qui il sito si connette correttamente al tuo wallet reale, poi ti chiede di firmare qualcosa di dannoso: un’approvazione di token illimitata, una firma permit o una transazione che trasferisce asset. Il pop-up è vero; la richiesta è malevola. Il nostro articolo su ice phishing e firme permit lo approfondisce.

Variante 3: finte finestre di wallet dentro la pagina

Alcuni siti disegnano dentro la pagina un’imitazione perfetta di un noto wallet in estensione, completa di logo e campo password. Può chiederti prima la password e poi la frase di recupero «per ripristinare l’accesso». Lettura correlata: Phishing tramite annunci di ricerca.

Un esempio ipotetico

Quello che segue è uno scenario composito e illustrativo, non un caso reale. Immagina Maya, che possiede token di un precedente airdrop di un progetto. Scrive sui social che il suo claim non è riuscito. Nel giro di pochi minuti, un account con il logo del progetto risponde: «Ci scusiamo per il disagio! Usa il nostro portale di sincronizzazione del wallet per risolvere i claim in sospeso», con un link.

Il sito mostra una finestra in stile WalletConnect. Sceglie il suo wallet, vede «Errore di connessione, connettiti manualmente» e un campo le chiede la frase di recupero. La digita. Dieci minuti dopo, i suoi token e la moneta nativa della rete sono stati trasferiti. L’account di «supporto» cancella la sua risposta.

Ogni passaggio aveva un segnale d’allarme: aiuto non richiesto, un link non ufficiale e, soprattutto, la richiesta della sua frase di recupero. Il nostro articolo Truffe sui prestiti cripto approfondisce questo punto.

Checklist dei segnali d’allarme

• Un sito o una finestra chiede la tua frase di recupero, la chiave privata o il file keystore. Questo da solo significa che è una truffa.
• La «finestra del wallet» non può essere trascinata fuori dal browser, oppure scompare quando cambi scheda.
• Il link ti è arrivato tramite una risposta, un messaggio diretto, un annuncio o un «operatore di supporto».
• Il dominio è sconosciuto, scritto male o usa un’estensione strana, e non è collegato dal sito ufficiale del progetto.
• La pagina segnala un problema generico come «sincronizzazione», «validazione», «rettifica» o «whitelist» da risolvere.
• Il wallet mostra una richiesta di approvare spese illimitate o di firmare un messaggio illeggibile che non ti aspettavi.
• C’è urgenza: «i tuoi asset verranno congelati tra 30 minuti».

Come proteggersi

1. 1Non digitare mai la tua frase di recupero su un sito web. La frase di recupero va inserita solo nella tua app di wallet quando la ripristini, sul tuo dispositivo.
2. 2Apri le app dai segnalibri. Salva i link ufficiali dal sito del progetto e usali ogni volta. Vedi come verificare che un sito web sia il sito ufficiale del progetto.
3. 3Leggi il dominio nel wallet. Prima di approvare una connessione, controlla che il nome del sito mostrato nel wallet corrisponda al dominio ufficiale.
4. 4Leggi ogni richiesta di firma. Se non riesci a capire cosa fa una richiesta, rifiutala.
5. 5Usa un wallet separato per gli esperimenti. Tieni gli investimenti a lungo termine in un wallet, idealmente un hardware wallet, che si colleghi raramente a siti nuovi.
6. 6Revoca regolarmente le vecchie approvazioni. La nostra guida su come revocare le approvazioni dei token spiega come fare.

Cosa fare se è successo

Poi segui la nostra guida passo passo su cosa fare subito se il tuo wallet è compromesso. Salva l’URL del sito, gli hash delle transazioni e gli screenshot, e segnala il sito tramite il nostro modulo di segnalazione truffe così che altri possano essere avvisati. Diffida dei «servizi di recupero» che ti contattano in seguito: spesso sono una seconda truffa.

In sintesi

WalletConnect e i pop-up di wallet sono strumenti sicuri quando provengono dal tuo wallet reale e da un’app reale. La truffa sta nelle finestre imitate che chiedono la frase di recupero e nelle richieste malevole travestite da passaggi di routine. Nessun servizio legittimo ha bisogno delle tue parole di recupero. Se una finestra te le chiede, chiudila.