Hardware wallet manomessi e falsi: come acquistarne uno in sicurezza

Un hardware wallet falso è un dispositivo contraffatto o manomesso progettato per rubare le tue criptovalute, di solito perché arriva con una frase di recupero preimpostata o perché trasmette di nascosto quella che crei tu. La difesa più sicura è semplice: acquista solo dal produttore o da un rivenditore autorizzato, verifica il dispositivo durante la configurazione e non usare mai un wallet che arriva con una frase di recupero già scritta.

Gli hardware wallet sono uno dei modi migliori per proteggere le criptovalute perché tengono offline le tue chiavi private. È proprio questa reputazione il motivo per cui i truffatori li copiano. Un dispositivo compromesso ti dà un falso senso di sicurezza mentre qualcun altro possiede una copia delle tue chiavi.

Come funzionano gli attacchi con wallet manomessi e falsi

Esistono diverse varianti, ma la maggior parte segue questo schema:

1. 1Il dispositivo viene procurato o prodotto. I truffatori acquistano dispositivi autentici e li modificano, oppure producono hardware contraffatto che imita un marchio popolare.
2. 2Viene rivenduto tramite canali non ufficiali. Marketplace, siti d’aste, negozi sui social media e negozi “scontati” sono canali comuni.
3. 3Viene tesa una trappola. La confezione può includere una scheda da grattare con una “frase di recupero” e istruzioni per usarla, oppure il firmware modificato può registrare la frase che generi.
4. 4Depositi fondi. Poiché il dispositivo sembra normale, ci invii criptovalute.
5. 5L’attaccante lo svuota. Avendo la frase di recupero, può ripristinare il tuo wallet sul proprio dispositivo e spostare tutto, spesso aspettando che il saldo diventi consistente.

Una tattica correlata è la truffa del “sostituto” inviato per posta: alcune persone ricevono un dispositivo non richiesto con una lettera che dice che il loro vecchio wallet non è sicuro e va sostituito. Il dispositivo è modificato per rubare la frase di recupero che inserisci durante la “migrazione”. Il nostro articolo Attacchi alla supply chain approfondisce questo punto.

Un esempio ipotetico

Questo scenario è inventato per illustrare lo schema.

Immagina che Priya trovi un modello noto di hardware wallet in un annuncio su un marketplace a un prezzo nettamente inferiore a quello del negozio ufficiale. La scatola arriva con una confezione all’apparenza intatta e una scheda stampata con la scritta “La tua frase di recupero – conservala al sicuro”, seguita da 24 parole. Le istruzioni dicono di inserire queste parole durante la configurazione “per un’attivazione più rapida”. Vedi anche: Password manager e criptovalute.

Priya segue le istruzioni, invia i suoi risparmi al wallet e per settimane tutto sembra normale. Poi il saldo sparisce. Il venditore aveva conservato una copia di quelle 24 parole. Non c’era nulla che non andasse nella blockchain né nei veri dispositivi del marchio: la trappola erano il dispositivo e le istruzioni. Se vuoi approfondire, leggi Truffe di convalida e sincronizzazione del wallet.

Checklist dei segnali d’allarme

• Nella scatola, su una scheda o nelle istruzioni è inclusa una frase di recupero.
• Il dispositivo è già configurato, non chiede di creare un PIN o mostra account esistenti.
• Il prezzo è molto inferiore a quello del produttore.
• Il venditore non è elencato come rivenditore autorizzato sul sito ufficiale.
• La confezione mostra segni di risigillatura, sigilli di sicurezza danneggiati, residui di colla o parti mancanti.
• Le istruzioni ti indirizzano a un sito o un’app diversi da quelli ufficiali del produttore.
• Arriva un dispositivo non richiesto, con una lettera che ti esorta a “migrare” i tuoi fondi.
• Il controllo di autenticità dell’app di accompagnamento fallisce o segnala avvisi sul dispositivo.

Come acquistare e configurare un hardware wallet in sicurezza

Prima di acquistare

1. 1Vai sul sito del produttore digitando tu stesso l’indirizzo: attenzione al phishing tramite annunci sui motori di ricerca.
2. 2Acquista direttamente lì o da un rivenditore elencato su quel sito ufficiale.
3. 3Evita i dispositivi usati, anche se provengono da persone che conosci.

Quando arriva

Durante la configurazione

• Lascia che il dispositivo generi una nuova frase di recupero e trascrivila tu stesso, offline.
• Non digitare mai la tua frase di recupero su un computer, un telefono o un sito web.
• Aggiorna il firmware solo tramite l’app ufficiale.
• Invia prima un piccolo importo di prova, poi conferma l’indirizzo di ricezione sullo schermo del dispositivo.

La nostra guida passo passo su come configurare un hardware wallet copre l’intero processo, e come scegliere un hardware wallet spiega cosa valutare prima dell’acquisto.

Come proteggerti dopo l’acquisto

• Conserva la frase di recupero offline, in un luogo sicuro: valuta i backup della seed phrase in acciaio per la resistenza a fuoco e acqua.
• Considera una truffa qualsiasi messaggio, email o lettera che ti chieda la frase di recupero. I produttori non la chiedono mai.
• Mantieni riservati i dati del tuo acquisto; i dati dei clienti trapelati possono portare a phishing mirato e truffe per posta.
• Verifica ogni indirizzo sullo schermo del dispositivo prima di approvare una transazione.

Cosa fare se sospetti un dispositivo compromesso

1. 1Smetti di depositare sul wallet sospetto.
2. 2Procurati un dispositivo autentico da una fonte ufficiale, oppure usa temporaneamente un altro wallet affidabile.
3. 3Crea una frase di recupero completamente nuova sul dispositivo affidabile.
4. 4Sposta tutti i fondi dal wallet sospetto a quello nuovo il prima possibile.
5. 5Contatta il produttore fornendo i dettagli del venditore e del dispositivo.
6. 6Segnala il venditore al marketplace e, se pertinente, alla polizia o all’autorità per la tutela dei consumatori. Puoi anche comunicarcelo tramite il nostro modulo di segnalazione.

Se i fondi sono già stati sottratti, segui cosa fare subito se il tuo wallet è compromesso.

Conclusione

Un hardware wallet è sicuro quanto la sua catena di fornitura. Acquista dal produttore o da un rivenditore autorizzato, rifiuta qualsiasi dispositivo che arrivi con una frase di recupero o senza che tu l’abbia richiesto, esegui il controllo di autenticità ufficiale e genera la tua frase offline. Queste poche abitudini eliminano quasi tutto il rischio legato ai dispositivi falsi e manomessi.