Le truffe crypto sono diventate la forma di frode online più costosa. Per evitare le truffe crypto nel 2026 non serve essere esperti di sicurezza: basta riconoscere i pochi copioni che i criminali riutilizzano di continuo e conoscere le regole semplici che li neutralizzano. Questa guida descrive le principali truffe osservate nel 2025 e nel 2026, i segnali d’allarme che le accomunano e dove segnalare una truffa in Italia, in Francia, nel Regno Unito, negli Stati Uniti e nel resto d’Europa.
Quanto è grande il problema?
blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il rapporto 2025 dell’IC3, il centro dell’FBI che raccoglie le denunce di crimini informatici, ha contato 181.565 denunce legate alle criptovalute, con oltre 11,3 miliardi di dollari di perdite dichiarate, la cifra più alta fra tutte le categorie. Le sole frodi sugli investimenti in crypto valgono 7,2 miliardi. L’FBI ha registrato anche 10.516 denunce per falsi servizi di “recupero” rivolti a chi era già stato truffato, per circa 1,4 miliardi di dollari.
I dati on-chain confermano il quadro. Nel suo rapporto 2026 sulla criminalità crypto, Chainalysis stima che le truffe abbiano incassato almeno 14 miliardi di dollari nel 2025 e che il totale finale possa superare i 17 miliardi. La società ha misurato un aumento di oltre il 1.400% delle truffe basate sul furto d’identità rispetto al 2024, favorito da strumenti di IA che rendono economici voci, video e messaggi falsi.
In Italia la CONSOB, che dal luglio 2019 può far oscurare i siti abusivi, ha comunicato a giugno 2026 di aver raggiunto 1.757 siti oscurati, di cui 217 legati alle cripto-attività.
Le principali truffe crypto del 2025-2026
Il phishing: siti, app e pubblicità false
Il phishing resta la porta d’ingresso della maggior parte dei furti. I truffatori comprano annunci sui motori di ricerca che portano a copie di siti di wallet, exchange o protocolli DeFi, pubblicano false app di wallet o inviano e-mail e SMS su un “accesso sospetto” o un “aggiornamento obbligatorio del wallet”. L’obiettivo è sempre lo stesso: ottenere la password, il codice 2FA o, peggio, la vostra seed phrase.
Nel 2025 e di nuovo all’inizio del 2026, alcuni possessori di wallet Ledger e Trezor hanno ricevuto perfino lettere cartacee con un codice QR che chiedeva di “convalidare” il wallet inserendo la frase di recupero. Ledger ha confermato che si trattava di una truffa.
La falsa assistenza clienti
I truffatori monitorano i social alla ricerca di chi si lamenta di un prelievo bloccato, poi rispondono fingendosi “supporto” e li attirano in una chat privata, una telefonata o una falsa pagina di ticket. Altri chiamano direttamente. A maggio 2025 Coinbase ha reso noto che alcuni criminali avevano corrotto addetti esterni all’assistenza per copiare i dati dei clienti, contattati poi da finti operatori Coinbase per convincerli a spostare i fondi. L’exchange ha annunciato il rimborso dei clienti raggirati in questo modo.
Una vera assistenza non vi contatta per prima in privato, non vi chiede mai di spostare i fondi su un “wallet sicuro” e non ha mai bisogno della vostra seed.
L’address poisoning (avvelenamento degli indirizzi)
L’attaccante vi invia una transazione minuscola, o un trasferimento di token di valore zero, da un indirizzo che inizia e finisce con gli stessi caratteri di uno che usate spesso. In seguito, copiando un indirizzo dalla cronologia, potreste prendere quello falso. Il trasferimento è irreversibile.
La difesa è semplice: non copiate mai un indirizzo dalla cronologia. Usate la rubrica o una whitelist, controllate l’indirizzo per intero e non solo i primi e gli ultimi caratteri e, per importi elevati, fate prima un piccolo invio di prova.
I wallet drainer e le firme malevole
Un drainer è un kit venduto ai truffatori che svuota un wallet non appena la vittima firma un messaggio malevolo, di solito su una falsa pagina di mint, airdrop o “claim”. La vittima non digita mai la seed: basta una firma che concede un’autorizzazione sui token (un “permit”). Secondo ScamSniffer, il phishing con drainer ha sottratto circa 83,85 milioni di dollari a 106.106 vittime nel 2025, l’83% in meno rispetto al 2024, ma le tecniche si evolvono, ad esempio con firme EIP-7702 malevole dopo l’aggiornamento Pectra di Ethereum.
Leggete ogni richiesta di firma. Se il wallet non vi mostra chiaramente cosa state approvando, rifiutate.
Il “pig butchering” e le false piattaforme di trading
È la categoria più costosa. L’FBI descrive truffe di lungo periodo, spesso gestite da gruppi organizzati del Sud-est asiatico che sfruttano vittime della tratta di esseri umani. Il contatto parte da un SMS “sbagliato”, un’app di incontri o un social network, prosegue su un’app di messaggistica e porta a una piattaforma di trading che mostra guadagni fittizi in crescita. Quando la vittima vuole prelevare, le vengono chieste “tasse” o “commissioni”, poi i truffatori spariscono.
I falsi airdrop e i regali di token
I falsi siti di airdrop copiano il marchio di un progetto reale e chiedono di collegare il wallet per “verificare l’idoneità”. Altri inviano nel wallet token senza valore il cui nome contiene l’indirizzo di un sito: visitarlo porta a un drainer. Un vero airdrop viene annunciato sul sito e sui canali ufficiali del progetto e non richiede mai pagamenti né la frase di recupero.
Il furto d’identità: VIP, autorità e falsi “recuperatori”
Video deepfake di fondatori e personaggi famosi che promettono di raddoppiare le vostre crypto, false autorità che annunciano il blocco dei fondi, falsi studi legali che promettono di recuperare il denaro rubato: il furto d’identità è in piena espansione. L’FBI avverte che i truffatori si spacciano persino per l’IC3, e la CONSOB ha messo in guardia contro le “truffe al quadrato” del finto recupero crediti rivolte a chi è già stato truffato.
I segnali d’allarme di una truffa crypto
- Rendimenti garantiti o molto alti, trading “senza rischi” o bot che “non perde mai”.
- Urgenza: offerta che scade fra pochi minuti, conto “in chiusura”.
- Una persona conosciuta online che porta il discorso sugli investimenti.
- Richiesta della seed, della chiave privata, di un codice 2FA o dell’accesso remoto al computer.
- Pagamento richiesto per sbloccare un prelievo (“tassa”, “commissione”, “deposito antiriciclaggio”).
- Piattaforma assente dai registri delle autorità.
- Link ricevuto in un messaggio privato, in una pubblicità o in un’e-mail inattesa.
- Firma del wallet che non capite.
Come proteggersi
- Salvate nei preferiti i siti che usate e non raggiungeteli mai da pubblicità o link.
- Usate un hardware wallet per i risparmi di lungo periodo e tenete la frase di recupero offline (vedi wallet crypto spiegati).
- Attivate un’app di autenticazione o una chiave di sicurezza sui conti, invece dell’SMS.
- Usate le whitelist degli indirizzi di prelievo degli exchange.
- Revocate periodicamente le vecchie autorizzazioni sui token con uno strumento affidabile.
- Prima di usare una piattaforma, verificate che sia autorizzata. Nell’UE un fornitore di servizi crypto deve ormai avere un’autorizzazione MiCA: leggete la guida su MiCA spiegato.
Siete stati truffati: cosa fare subito
- Interrompete ogni pagamento. Non inviate altro denaro, nemmeno per “sbloccare” un prelievo.
- Se il wallet è compromesso, trasferite i fondi rimasti su un nuovo wallet con una nuova seed, da un dispositivo pulito.
- Contattate l’exchange da cui avete inviato i fondi: può congelare il conto destinatario se si trova sulla sua piattaforma.
- Raccogliete le prove: hash delle transazioni, indirizzi, screenshot, indirizzi dei siti, nomi utente e messaggi.
- Segnalate la truffa alle autorità indicate qui sotto. Le segnalazioni aiutano a collegare i casi e talvolta a sequestrare fondi.
- Diffidate di chiunque vi offra di recuperare le crypto in cambio di un anticipo: è una seconda truffa.
Dove segnalare una truffa crypto
| Paese | Dove segnalare | Verifiche utili |
|---|---|---|
| Italia | Polizia Postale tramite il Commissariato di PS Online (segnalazione o denuncia per reati telematici), oppure qualsiasi ufficio di Polizia o Carabinieri | Avvisi ai risparmiatori e siti oscurati dalla CONSOB, registro MiCA dell’ESMA |
| Francia | THESEE su service-public.fr, 17Cyber, Info Escroqueries 0805 805 817 | Liste nere dell’AMF |
| Altri paesi UE | Polizia nazionale, unità crimini informatici | Autorità nazionale e registro MiCA dell’ESMA |
| Regno Unito | Report Fraud (reportfraud.police.uk), che dal 4 dicembre 2025 ha sostituito Action Fraud in Inghilterra, Galles e Irlanda del Nord; Police Scotland al 101 | Warning List della FCA |
| Stati Uniti | FBI IC3 (ic3.gov) e FTC (ReportFraud.ftc.gov) | Avvisi di SEC e CFTC |
Ricordate che la denuncia inviata online sul portale della Polizia Postale va poi confermata e firmata di persona presso un ufficio di polizia, portando il numero di protocollo e tutte le prove raccolte: solo allora ha pieno valore legale.
In sintesi
Ogni truffa crypto finisce con la stessa richiesta: inviare fondi, firmare qualcosa o rivelare la frase di recupero. Rallentate ogni volta che uno sconosciuto, una pubblicità o un messaggio urgente vi spinge verso una di queste azioni. Verificate la piattaforma, tenete la seed offline, leggete ciò che firmate e segnalate quello che vi succede: proteggerete la prossima vittima.
