Come distinguere gli airdrop veri da quelli falsi? 5 segnali che si capisce a colpo d'occhio che è una truffa
Una situazione tipica: in un gruppo qualcuno pubblica «airdrop di un certo progetto aperto al riscatto, solo 24 ore». Ci clicchi, il sito è fatto con cura, colleghi il portafoglio e salta fuori una finestra di conferma — se premi senza pensarci, le monete nel tuo portafoglio con buona probabilità non saranno più tue. Queste tecniche di phishing sono così comuni che persino la spiegazione sulle truffe da airdrop di Binance Academy ne parla apposta.
Gli airdrop falsi oggi sono fatti con sempre più cura, e dal solo «quanto è bella la pagina» non distingui il vero dal falso. Ma la buona notizia è: per riuscire, il truffatore deve farti compiere almeno una di certe azioni. Riconosci bene i segnali dietro queste azioni e, per quanto bella sia la confezione, puoi fermare tutto sul posto. Eccone cinque qui sotto: appena ne vedi uno, non muoverti.
Segnale 1: appena entri ti chiede di connettere e firmare un'autorizzazione
L'ordine normale per riscattare un airdrop è: prima connetti il portafoglio (questo passaggio fa solo vedere il tuo indirizzo al sito), confermi di avere i requisiti e quanto puoi riscattare, e solo alla fine firmi una volta al momento del riscatto. Il problema sta in quella singola «cosa firmi».
Gli airdrop falsi spesso, appena connetti il portafoglio, aprono subito una finestra che ti chiede di «approvare» un certo contratto a usare le tue monete, e di solito si tratta di un'autorizzazione senza limite. Credi di riscattare un airdrop, e in realtà hai dato alla controparte un lasciapassare «posso portarti via questa moneta quando voglio».
Come verificare sul posto: guarda bene quale azione chiede la finestra del portafoglio. Se è solo per riscattare un airdrop, la cosa ragionevole è «firmare un messaggio (signature)», non dovrebbe comparire una dicitura del tipo «autorizza un certo contratto a usare i tuoi USDT / USDC / una certa moneta». Se vedi un'autorizzazione, se vedi una lunga stringa di indirizzo del contratto che ti chiede di approvare l'uso delle attività, annulla prima. La differenza tra firma e autorizzazione e come un'autorizzazione malevola porta via le monete sono spiegate al meglio in firme malevole e truffe di autorizzazione.
C'è anche un piccolo dettaglio: una pagina di riscatto seria di solito ti fa prima vedere «quanto può riscattare il tuo indirizzo», così hai un'idea e solo dopo firmi. Se appena connetti il portafoglio, senza ancora aver mostrato requisiti o quantità, ti incalza già a premere un pulsante di conferma — quest'ordine è già di per sé sbagliato. Non ti hanno ancora dato le informazioni e ti chiedono già di autorizzare: quello che vogliono non è farti riscattare le monete, ma quel tuo singolo clic di conferma.
Segnale 2: ti chiede la chiave privata o la frase di recupero
Questo è il più semplice, e anche il più letale. Qualsiasi pagina, qualsiasi «assistenza», qualsiasi passaggio di «verifica del portafoglio» che ti chieda di inserire la chiave privata o la frase di recupero è una truffa al 100%, senza eccezioni.
La frase di recupero è la chiave maestra di tutto il portafoglio, e riscattare un airdrop normale non la richiede mai, dall'inizio alla fine. A chiedertela è solo chi vuole rubarti tutte le attività. La retorica sarà confezionata in modo molto plausibile: «per confermare che sei tu», «sincronizziamo il portafoglio per riscattare», «il sistema ha rilevato un'anomalia, riverifica» — per quanto plausibili, sono tutte false. Imprimiti un principio: questa stringa si inserisce solo quando sei «tu» a creare o ripristinare un portafoglio, dentro l'app del portafoglio di cui ti fidi; qualsiasi pagina web, qualsiasi finestra di chat che ti chiede di digitare la frase di recupero è una truffa.
Attento anche alle varianti. Alcune non ti fanno digitare direttamente, ma ti danno un passaggio per «scansionare un QR code per connettere il portafoglio», o fingono di essere la pagina ufficiale di un portafoglio popolare e ti chiedono di «importare» l'account. Il punto non è in che confezione si presenti, ma in questo: se durante il processo la tua frase di recupero esce dall'app del tuo portafoglio per finire in qualunque altro posto, c'è un problema. Persino la documentazione ufficiale di MetaMask mette «non rivelare mai la frase di recupero a nessuno» come prima regola, segno di quanto sia basilare.
Segnale 3: ti chiede di pagare prima una somma per sbloccare
«Hai vinto un grosso airdrop, ma devi pagare prima un po' di commissione / cauzione / tassa di sblocco per ritirarlo.» È il classico dei classici.
La verità è: nel riscatto di un airdrop vero paghi al massimo un po' di gas on-chain (che il tuo portafoglio paga direttamente alla rete, non a una persona), e di solito l'importo non è grande. Nessun airdrop serio ti chiede di «bonificare prima una somma alla controparte» per liberare le monete. La logica è semplice: se sono in regalo, che senso ha farti pagare prima di regalarle?
Come verificare sul posto: distingui tra «pagare il gas» e «pagare una persona». Pagare il gas è il tuo portafoglio che firma una transazione, incassata dalla rete; mentre «bonifica prima una somma a questo indirizzo per sbloccare», cioè chiederti di trasferire attivamente a un indirizzo, va chiuso subito. Puoi anche incollare l'indirizzo che ti danno su Etherscan o BscScan: di solito scopri un mucchio di trasferimenti in entrata da vittime, ed è la prova schiacciante.
Questa truffa ha anche un seguito, lo «sviluppo a pagamenti aggiuntivi»: paghi la prima somma, la controparte dice «l'importo non basta, devi aggiungerne un altro po' per liberarne uno più grande», e passo dopo passo ti incastra sempre di più. Una volta che ti accorgi di essere nel ciclo «per riavere i soldi appena versati, mi tocca versarne ancora», quella è la struttura tipica della truffa: il momento di fermare le perdite è adesso, non un altro pagamento. Ricorda: non hai mai vinto davvero quell'airdrop, e il cosiddetto ritiro è solo l'amo che ti fa sborsare di continuo.
Segnale 4: l'URL non è del tutto giusto
Il corpo del sito di phishing è proprio quella stringa di URL. Il truffatore fa un dominio quasi identico a quello ufficiale: una lettera di differenza, una l sostituita con un 1, una grafia simile, o una coda di rumore in fondo. Dai un'occhiata e pensi «sì, è proprio quello», e invece è diverso di un soffio.
Come verificare sul posto: non aprire link da messaggi privati, gruppi, pubblicità. Arrivaci sempre da una fonte di cui ti fidi — il canale ufficiale del progetto, la pagina di quotazione di un grande exchange, il link ufficiale indicizzato da un block explorer. Per l'abitudine di controllare prima di incollare un indirizzo o entrare in un sito, fai un giro seguendo la verifica dell'indirizzo del portafoglio. Il dominio nella barra degli indirizzi del browser, guardalo carattere per carattere prima di collegare il portafoglio.
C'è uno scenario in cui si casca particolarmente: cerchi il nome di un progetto su un motore di ricerca e le prime una o due voci in alto sono spazi pubblicitari, con un dominio che sembra quasi giusto, ma cliccandolo è un sito di phishing. Quindi le pubblicità in cima ai risultati di ricerca sono in realtà quelle da temere di più. Un altro dettaglio spesso trascurato: il lucchettino di HTTPS significa solo che la connessione è cifrata, non che il sito sia onesto — il sito di phishing del truffatore può avere benissimo il lucchettino. Non scambiare «c'è il lucchetto» per una garanzia di sicurezza. Per capire i principi dietro azioni come connettere il portafoglio e firmare, la pagina sulla sicurezza di ethereum.org ha una buona introduzione.
Segnale 5: la retorica dell'urgenza che ti incalza «subito»
«Solo 24 ore», «restano gli ultimi 100 posti», «scade e perde validità» — questi conti alla rovescia e questa retorica della scarsità hanno un solo scopo: non lasciarti il tempo di verificare con calma. Perché basta che ti fermi a controllare e probabilmente scopri la crepa.
Un airdrop con vera portata ha di solito una finestra di riscatto molto lunga e non ha affatto bisogno di quei tuoi pochi minuti. Più ti incalza in fretta, più ti fa temere di perdere l'occasione, più tu devi rallentare.
Come verificare sul posto: di fronte alla retorica dell'urgenza, fermati apposta 10 minuti, torna sul canale ufficiale del progetto a confermare che la cosa esista e a verificare l'URL corretto del punto di riscatto. Se in 10 minuti ti sfugge un airdrop vero, la perdita è limitata; ma se quello che premi d'impulso è falso, può essere l'intero contenuto del tuo portafoglio. Per i concetti di sicurezza puoi consultare anche la sezione anti-truffa del centro assistenza ufficiale di Binance.
Tieni d'occhio anche una variante: la controparte costruisce l'atmosfera del «sei speciale» — «lo diamo solo ai primi 100», «il tuo indirizzo è stato selezionato». La vanità di essere chiamati per nome fa abbassare la guardia, ed è proprio ciò che vuole. Un airdrop vero dice «chi ha i requisiti può riscattare», non mette in scena questo teatrino di scegliere proprio te. Metti insieme urgenza e scarsità e nove volte su dieci è una confezione.
Metti in fila questi cinque segnali: ti chiede di connettere e firmare subito un'autorizzazione, ti chiede chiave privata o frase di recupero, ti chiede di pagare prima, l'URL è strano, ti incalza a premere. Uno solo basta per fermarti, due o più e si può quasi confermare che è una truffa.
Impara a memoria questi cinque segnali e blocchi quasi tutti gli airdrop falsi in circolazione. La loro logica comune è in fondo una sola: un airdrop vero ti fa «capire, non avere fretta, non sborsare prima, non consegnare le chiavi»; basta che una di queste sia infranta perché tu lo tratti subito come falso. Meglio perdere uno vero che rimetterci l'intero portafoglio: cosa pesi di più, in realtà, lo distingui a colpo d'occhio.
Capire i segnali è solo il primo passo: il flusso di sicurezza completo per quando ti metti davvero a riscattare un airdrop è spiegato passo passo nella guida completa agli airdrop di criptovalute; per conoscere in modo sistematico i vari trucchi che incontri con i portafogli auto-custoditi, continua poi con Le 5 truffe più comuni sui portafogli. Se un airdrop l'hai ricevuto o no è una cosa momentanea, ma questa capacità di «fermarsi prima di agire» ti accompagnerà sempre. Se vuoi controllare al volo se un indirizzo o un URL sia corretto, puoi usare anche la nostra verifica indirizzo.
Un'ultima raccomandazione pratica: per allenare il giudizio, conviene partire in un ambiente che già conosci e dove, in caso di problemi, c'è un'assistenza a cui rivolgersi. Prendi prima bene la mano con il flusso di base sull'exchange, e poi va' a toccare gli airdrop on-chain con questa attenzione: sarà molto più solido.