Criptovalute: le truffe che svuotano i portafogli e come custodire le chiavi

Un conto in banca ha un gestore, un numero verde, a volte un rimborso. Un portafoglio di criptovalute, quando lo gestisci tu, no: le operazioni sono definitive e chi ha la chiave può spostare tutto in pochi secondi. È il motivo per cui questo settore attira chi truffa e il motivo per cui le difese consistono soprattutto nel non consegnare mai quella chiave, né a chi la chiede né a un servizio troppo comodo.

Che cosa dicono i dati

Nel rapporto 2025 dell’FBI sui crimini online, pubblicato ad aprile 2026, le denunce che coinvolgono criptovalute sono 181.565, con perdite dichiarate per circa 11,4 miliardi di dollari, il 22% in più dell’anno prima e più della metà di tutte le perdite del rapporto. La frode d’investimento in cripto vale 61.559 denunce e 7,2 miliardi di dollari: è la singola voce più costosa.

Sono dati statunitensi e basati su segnalazioni volontarie, quindi non descrivono l’Italia e sottostimano il fenomeno. Ma gli schemi sono gli stessi in tutto il mondo perché viaggiano sulle stesse piattaforme e nelle stesse chat. Un dato dà la misura di quanto spesso la vittima non sa: nell’operazione con cui l’FBI avvisa chi sta cadendo in una truffa d’investimento in cripto, nel 2025 sono state contattate 3.780 persone, e il 78% non sapeva di essere vittima.

Gli schemi più frequenti, a livello di riconoscimento

L’investimento guidato. Un contatto, spesso nato in un social o in una chat sbagliata, porta la conversazione verso un investimento. Una piattaforma mostra guadagni crescenti, e si può anche prelevare una piccola somma. Poi la cifra investita sale. Quando si chiede di ritirare tutto, compaiono «tasse», «costi di sblocco» o «verifiche»: altri versamenti, che non sbloccano nulla. È lo schema della fiducia costruita nel tempo, applicato a un prodotto finanziario.

I «segnali» e i guru. Gruppi in cui un esperto dà indicazioni di acquisto a migliaia di iscritti. A guadagnare è chi vende l’abbonamento, chi muove il prezzo di un token minore o chi vende ai nuovi arrivati quello che i primi vogliono liquidare. L’ingresso è «solo per pochi», la scadenza è sempre vicina.

Il finto verificatore. Un sito o un messaggio ti dice che devi «verificare» il portafoglio, «reclamare» un premio o completare un controllo d’identità. Per farlo ti chiede di collegare il portafoglio e firmare una richiesta, oppure di inserire le parole di recupero. La richiesta di firma può essere una autorizzazione a muovere i tuoi token, e a quel punto i fondi se ne vanno senza che tu abbia «inviato» nulla.

Il falso supporto e il falso recupero. Dopo una perdita, qualcuno si offre di recuperare i fondi dietro pagamento. Secondo il rapporto dell’FBI le truffe in cripto proseguono anche con raggiri rivolti a chi è già stato vittima. Il recupero a pagamento è quasi sempre un secondo furto.

Il pagamento che sparisce. Chi vende un bene o un servizio e riceve in cambio «cripto» può trovarsi con un saldo fasullo o temporaneo. Se qualcuno ti mostra la schermata di un pagamento e ti chiede di consegnare ciò che vendi, non hai ricevuto nulla finché la transazione non risulta confermata sulla blockchain e il denaro non è disponibile nel tuo portafoglio.

La seed phrase: la chiave di tutto

Quando crei un portafoglio che gestisci tu, il programma ti mostra una frase di recupero, di solito 12 o 24 parole. È la copia di riserva della chiave privata: chi ha quelle parole ha il portafoglio, anche senza il telefono, la password o il dispositivo. Non c’è un «ho dimenticato la password»: chi perde le parole perde l’accesso, chi le consegna perde i fondi.

Regole che valgono per tutti:

• Mai in digitale. Non fotografarla, non scriverla in una nota, in un messaggio, in una email, nel cloud o in un album condiviso. Se il telefono, l’account o il computer vengono compromessi, la frase va con loro.
• Solo su carta o metallo, scritta a mano, conservata offline. Meglio due copie in luoghi diversi, per esempio una in casa e una in una cassetta di sicurezza, che una sola.
• Mai in nessun sito o app. Nessun servizio legittimo, supporto compreso, ha bisogno delle tue parole. Chi le chiede, per qualunque ragione, è il truffatore.
• Portafoglio hardware acquistato dal produttore, mai di seconda mano né da rivenditori sconosciuti, e sempre inizializzato da te. Se la confezione è già aperta o c’è una frase di recupero già scritta, non usarlo.
• Una frase non si «prova» su un altro programma per curiosità. Ogni volta che la inserisci in un dispositivo connesso, la esponi.

Per importi che non puoi permetterti di perdere, vale la separazione: un portafoglio di uso quotidiano con poco, uno in custodia con il resto, che non viene collegato a nessun sito.

Firmare con consapevolezza

Una firma non è una password: è un’autorizzazione. Prima di confermare qualsiasi richiesta nel portafoglio, leggi che cosa autorizzi: un invio di una somma precisa a un indirizzo che riconosci, oppure il permesso a un contratto di spendere i tuoi token per un importo illimitato e senza scadenza. La seconda è quella che chi truffa vuole.

Un’autorizzazione concessa resta valida anche dopo aver scollegato il portafoglio dal sito. Esistono strumenti pubblici per vedere e revocare le autorizzazioni, come Revoke.cash, che le mostra su oltre 80 reti: li citiamo come esempio, senza alcun legame commerciale. Controllare di tanto in tanto le autorizzazioni attive e revocare quelle che non usi è un’abitudine che costa pochi minuti.

Altre regole pratiche:

• Un portafoglio dedicato alle prove, con pochi fondi, per interagire con servizi nuovi.
• Se un messaggio ti propone un «premio» o una «verifica» che non hai richiesto, non è per te: ignoralo.
• Controlla l’indirizzo del sito digitandolo o usando un segnalibro, non dal link ricevuto.
• Su un portafoglio hardware, leggi la schermata del dispositivo: è quella che il sito non può alterare, e mostra che cosa stai davvero firmando.

Dove tenere i fondi: custodia propria e custodia di un servizio

Chi usa un servizio di scambio non ha la chiave: si fida del gestore. Chi usa un portafoglio proprio ha la chiave e tutta la responsabilità. Nessuna delle due è «sicura» in assoluto.

In Europa il regolamento MiCA riserva i servizi sulle criptovalute ai fornitori autorizzati. In Italia il periodo transitorio è finito il 1° luglio 2026 e, come ricordano Consob e Banca d’Italia, chi offre servizi a clienti europei deve essere autorizzato come fornitore di servizi per le cripto-attività. Prima di aprire un conto o di trasferire fondi, verifica che il fornitore compaia nel registro pubblico tenuto dall’ESMA, l’autorità europea dei mercati, e diffida di chi ti contatta senza che tu l’abbia cercato. Consob oscura periodicamente siti che offrono servizi cripto senza autorizzazione.

Essere autorizzato non garantisce che l’investimento vada bene: significa che il fornitore è soggetto a regole su capitale, custodia e trasparenza, e che esiste un’autorità a cui rivolgersi.

Prima di investire: sei domande

1. Mi ha contattato qualcuno che non ho cercato io?
2. Il fornitore manca dal registro ESMA dei fornitori autorizzati, o il nome o il sito non corrispondono?
3. Mi si promettono rendimenti garantiti o «senza rischio»? Non esistono.
4. Per prelevare devo pagare qualcosa in più, oppure posso prelevare solo una parte della somma?
5. Mi si chiede di usare un’app o un sito fuori dagli store ufficiali, o di installare un programma di controllo remoto?
6. Chi mi consiglia guadagna se compro?

Un solo «sì» è già un motivo per fermarsi e verificare. Due sono un motivo per non andare avanti.

Se hai già perso dei fondi

1. Non mandare altro denaro. Né per «sbloccare», né per «recuperare», né per «pagare le tasse».
2. Conserva le prove: indirizzi dei portafogli, codici delle transazioni, chat, schermate, siti e profili usati. Non cancellare nulla.
3. Segnala subito allo scambio su cui hai comprato o da cui hai inviato, perché a volte può bloccare un conto di destinazione se è sulla sua piattaforma.
4. Presenta denuncia presso un ufficio di polizia (Polizia Postale, Polizia di Stato o Carabinieri), portando le prove. Le indicazioni aggiornate per segnalazioni e denunce sono sul sito del Commissariato di P.S. online.
5. Cambia le credenziali e revoca le autorizzazioni del portafoglio coinvolto.
6. Diffida di chi offre di recuperare i fondi a pagamento o chiede accesso al tuo portafoglio.

Domande frequenti

Fonti

• FBI Internet Crime Complaint Center, Internet Crime Report 2025
• Fox 35 Orlando, Crypto fraud tops FBI’s annual crime report (sintesi del rapporto IC3 2025, operazione Level Up)
• The Block, FBI says crypto-related fraud losses hit record $11.4 billion in 2025
• ESMA, Markets in Crypto-Assets Regulation (MiCA) e registro provvisorio dei fornitori autorizzati
• Consob e Banca d’Italia, Fine del periodo transitorio MiCAR: soggetti autorizzati in Italia
• Revoke.cash, strumento pubblico per vedere e revocare le autorizzazioni ai token
• Polizia di Stato, Commissariato di P.S. online
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.