Come usare un DEX in sicurezza: slippage, MEV e approvazioni

blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 9 agosto 2022 chi aprì il sito di Curve Finance e approvò quella che sembrava una normale transazione perse circa 570.000 dollari, secondo l’investigatore on-chain ZachXBT citato da The Block. Gli smart contract di Curve non c’entravano. Qualcuno aveva dirottato il dominio del sito verso una copia che chiedeva ai visitatori l’approvazione di un contratto controllato dall’attaccante. Il protocollo era integro; la pagina davanti al protocollo no.

È la lezione di fondo su come usare un DEX in sicurezza. Un exchange decentralizzato non ha un servizio clienti né un tasto «annulla». Quando lo swap è firmato e incluso in un blocco, è definitivo. La protezione sta in poche abitudini da applicare prima di premere Swap: provare su una testnet, controllare l’indirizzo del token, impostare lo slippage con criterio, tenere l’operazione lontana dai bot sandwich, governare i permessi che si concedono e accertarsi che il sito sia quello vero.

Nessuna di queste abitudini rende uno swap privo di rischi. Lo rendono più sicuro, e quasi tutte non costano nulla. L’unica che costa qualcosa, un primo swap reale su una rete di livello 2, ha richiesto meno di mezzo centesimo di commissioni su Base la mattina del 29 ottobre 2026, come mostrano le ricevute più sotto.

Cinque modi in cui uno swap riuscito può costarti comunque denaro

Un richiamo rapido dalla lezione precedente: su un automated market maker come Uniswap non scambi con una persona che ha piazzato un ordine. Scambi contro un pool di due token, il cui prezzo cambia al variare del rapporto tra i due saldi. La nostra lezione su exchange decentralizzati e AMM spiega pool, commissioni e aggregatori; qui diamo quel meccanismo per noto e guardiamo che cosa può andare storto per chi preme il pulsante.

Sono cinque cose, quasi tutte invisibili nella schermata di conferma. Puoi comprare il token sbagliato, uno che copia nome e ticker di uno vero. Puoi ottenere un prezzo peggiore della quotazione, perché il mercato si è mosso o perché hai lasciato troppo margine. Un bot può operare subito prima e subito dopo di te e tenersi la differenza. Un permesso concesso mesi fa può permettere a un contratto di prelevare token più tardi. E il sito stesso può essere falso, come hanno scoperto gli utenti di Curve.

Dietro tutte e cinque c’è il fatto strutturale della self-custody: le chiavi le hai tu, quindi nessuno può annullare un errore al posto tuo. Se il tuo wallet è ancora nuovo, la checklist dei prerequisiti DeFi elenca che cosa avere pronto prima di qualsiasi passaggio qui sotto.

Prova il primo swap su una testnet

Una testnet è una copia di una blockchain in cui le monete non valgono nulla. Ci girano contratti dello stesso tipo, il wallet chiede le stesse conferme e l’explorer mostra gli stessi dettagli. È il posto giusto per imparare le schermate senza pagare gli errori.

Verifica quale testnet supporta il front end

I contratti di Uniswap sono distribuiti su diverse reti di test. La sua documentazione per sviluppatori elenca le distribuzioni della v4 su Sepolia, Base Sepolia, Arbitrum Sepolia e Unichain Sepolia, al 29 ottobre 2026. Un contratto distribuito, però, non significa che il sito mostri quella rete. I front end aggiungono e tolgono testnet nel tempo: cerca nelle impostazioni dell’app l’opzione per le testnet, leggi l’elenco di reti che offre in quel momento oppure consulta il suo centro assistenza. Scegli una testnet che compare in quell’elenco e che il tuo wallet può aggiungere.

Passo per passo su una testnet

1. Crea un account wallet separato per gli esperimenti, con una seed phrase tutta sua scritta su carta. Non riutilizzare mai la frase di un wallet che contiene denaro vero e non digitarla mai dove un sito te la chiede (la nostra guida alla sicurezza della seed phrase spiega perché).
2. Aggiungi la testnet al wallet, se l’app non lo fa da sola, e porta il front end in modalità testnet.
3. Procurati ETH di prova da un faucet. Un faucet chiede solo il tuo indirizzo pubblico. Le condizioni cambiano spesso: alcuni chiedono un account, altri un piccolo saldo sulla rete principale, e gli importi variano di giorno in giorno, quindi leggi la pagina del faucet.
4. Scegli una coppia di token che esiste su quella testnet, per esempio ETH di prova contro una versione di prova di una stablecoin, e digita un importo piccolo.
5. Prima di tutto, studia la quotazione: l’importo che paghi, quello che ricevi, il tasso di cambio, il price impact, il costo di rete e il minimo che accetti. Le etichette cambiano da app ad app, ma questi numeri ci sono sempre, a volte dietro una piccola freccia.
6. Premi il pulsante e leggi la schermata del wallet: il nome della rete, il contratto che stai chiamando e, se è la prima operazione con quel token, una richiesta di approvazione separata.
7. Conferma, attendi l’inclusione, poi apri la transazione sull’explorer della testnet (sepolia.etherscan.io per Sepolia). Controlla che risulti riuscita, quanto gas ha usato e quali token si sono mossi.

Alcune cose una testnet non può insegnarle. La liquidità è scarsa e i prezzi non significano nulla, quindi un price impact del 30% su una coppia di prova non dice niente sulla rete principale. Non ci sono veri bot sandwich e i token falsi sono pochi. Considera la testnet un allenamento per i pulsanti, non per il mercato.

Un primo piccolo swap reale su un livello 2, con la commissione misurata

Quando le schermate ti sono familiari, il passo successivo è uno swap reale con un importo che puoi permetterti di perdere del tutto: pensa a dieci o venti euro, non allo stipendio di un mese. È un esercizio di apprendimento, non un invito a comprare qualcosa. Una rete di livello 2 come Base o Arbitrum One è il posto più economico per farlo, perché raggruppa molte transazioni e le registra su Ethereum; la nostra lezione su layer 1 e layer 2 spiega come.

1. Scegli un livello 2 che sia il tuo wallet sia il DEX supportano.
2. Carica il wallet su quella rete esatta. Il modo più semplice è un prelievo da un exchange che offre quel livello 2 come rete di prelievo; la rete scelta sull’exchange deve coincidere con quella del wallet, altrimenti i fondi possono finire dove non riesci a raggiungerli. Il ponte (bridge) è l’altra strada.
3. Tieni un po’ di ETH su quella rete: l’ETH paga il gas su Base e su Arbitrum One, anche se scambi stablecoin.
4. Raggiungi il DEX da un segnalibro salvato dalla documentazione ufficiale del progetto, mai da un annuncio sul motore di ricerca (ne parliamo più avanti).
5. Seleziona il token desiderato tramite il suo indirizzo di contratto, controllato come spiegato nella sezione successiva, poi digita l’importo piccolo.
6. Controlla nella quotazione l’importo minimo ricevuto e il costo di rete, poi conferma nel wallet.
7. Cerca la transazione nell’explorer della rete (basescan.org per Base, arbiscan.io per Arbitrum) e annota l’hash della transazione per i tuoi registri.

Quanto costa? Lo abbiamo misurato su swap reali. Abbiamo preso transazioni inviate all’Universal Router di Uniswap (il contratto a cui l’app di Uniswap invia gli swap) e incluse intorno alle 10:00 UTC del 29 ottobre 2026, poi abbiamo letto la commissione effettivamente pagata dalla ricevuta di ciascuna transazione sul nodo pubblico della rete quel giorno. L’ETH è valutato circa 2.319 dollari, il prezzo di DefiLlama alle 10:00 UTC. Un esempio su Base: uno swap di circa 0,0059 ETH nel blocco 53.239.262 ha pagato in tutto 0,00000117 ETH, circa 0,003 dollari. Il totale comprende la commissione sui dati del layer 1 che Base aggiunge per registrare la transazione su Ethereum, qui di appena 0,000000001 ETH circa. Uno swap consuma più o meno gas a seconda del percorso, ed è per questo che le cifre qui sotto sono intervalli.

Rete (swap di Uniswap inclusi intorno alle 10:00 UTC del 29 ott 2026; commissioni lette dalle ricevute)	Swap letti	Commissione totale per swap, in ETH	Circa, in dollari (ETH a 2.319 $)
Base (blocchi dalle 10:00:00 alle 10:00:30 UTC)	37	da 0,0000007 a 0,0000016	da 0,002 a 0,004 $
Arbitrum One (circa 2,5 minuti di blocchi)	2	0,000004	0,009 $
Ethereum mainnet (10 blocchi dalle 10:00 UTC)	39 riusciti	da 0,000004 a 0,00034 (mediana 0,000006)	da 0,01 a 0,79 $ (mediana 0,01 $)
Ethereum mainnet, swap fallito	1	0,0000029	0,007 $, pagati per nulla

Due avvertenze. Sono le commissioni di una mattina tranquilla: i prezzi del gas salgono quando molte persone operano insieme, a volte di un multiplo, quindi guarda il costo di rete mostrato nella quotazione invece di fidarti della nostra tabella. E uno swap che fallisce costa comunque gas, come ricorda Uniswap nella sua guida allo slippage: lo swap fallito sulla mainnet del nostro campione ha pagato la commissione senza ricevere nulla. Quella mattina era meno di un centesimo. In un giorno di congestione lo stesso fallimento sulla mainnet può costare dollari.

Controlla il token prima di comprarlo

Chiunque può creare un token e chiamarlo USDC, PEPE o come un progetto che non ha ancora lanciato il suo token. Un pool di un DEX lo accetterà senza problemi. Nome e ticker sullo schermo non provano nulla; solo l’indirizzo di contratto identifica un token.

Token falsi, copie e honeypot

Le copie portano nome e logo di un asset vero. Gli honeypot sono token che puoi comprare ma non vendere, oppure vendere solo con una commissione punitiva scritta nel loro codice. Entrambi si basano su un attimo di distrazione: chi compra digita un ticker, sceglie il primo risultato e conferma.

Il rimedio è prendere l’indirizzo da una fonte di cui ti fidi, come il sito ufficiale o la documentazione del progetto, oppure la pagina del token sul sito di CoinGecko, e confrontarlo con quello della schermata di swap, carattere per carattere all’inizio e alla fine. Le stablecoin richiedono attenzione in più sui livelli 2, dove una versione nativa e una vecchia versione bridged dello stesso token in dollari possono coesistere con nomi simili.

I front end aggiungono un filtro proprio. Uniswap ha introdotto gli avvisi sui token il 19 dicembre 2024, con la tecnologia della società di sicurezza Blockaid, comprese etichette per i token identificati come possibili imitazioni e per quelli con una commissione di vendita del 100%, secondo l’annuncio di Uniswap, che aggiunge che gli avvisi non sono consigli di investimento. Considerali un segnale tra tanti. L’assenza di un avviso non prova che un token sia autentico, tanto meno se è stato creato poche ore prima.

Una breve checklist per un token sconosciuto

• Il codice sorgente è verificato sull’explorer della rete, quindi chiunque può leggere che cosa fa il contratto.
• I token non sono concentrati in uno o due wallet che potrebbero scaricare l’offerta.
• Il pool ha una liquidità reale ed esiste da più di poche ore.
• Lo storico mostra vendite oltre che acquisti; molti acquisti e nessuna vendita sono il segno classico di un honeypot.
• Due scanner di token diversi concordano. Servizi come GoPlus, Token Sniffer o Honeypot.is leggono il contratto in cerca di trappole note, ma qualcosa sfugge, e a volte solo una piccola vendita reale prova che un token si può vendere.

Slippage: cos’è, tolleranza e price impact sono due numeri diversi

Uniswap definisce lo slippage come la differenza tra il prezzo che ti è stato quotato e quello al quale l’operazione viene effettivamente eseguita. La tolleranza di slippage è la differenza massima che accetti. Se il mercato si muove più di così prima che la tua transazione sia inclusa, lo swap non va a buon fine e paghi comunque il costo di rete. Nell’app web di Uniswap la tolleranza sta di solito tra circa lo 0,1% e il 5%, impostata in automatico o a mano, secondo la guida allo slippage dell’azienda pubblicata l’11 settembre 2025.

Il price impact è un’altra cosa. È lo spostamento che la tua stessa operazione provoca nel pool, determinato dalla dimensione dell’operazione rispetto alla profondità del pool, ed è già incluso nella quotazione che vedi. È un costo che conosci prima di firmare, non un rischio. Un price impact alto ti dice che il pool è troppo sottile per la tua dimensione; la risposta è un’operazione più piccola, un pool più profondo o un aggregatore che divide l’ordine.

Un esempio numerico chiarisce la differenza. Le cifre sono inventate a scopo didattico e non sono prezzi di mercato. Scambi 1.000 USDC contro ETH in un pool in cui, prima della tua operazione, 1 ETH costa 1.994 USDC. La tua operazione sposta il prezzo, quindi la quotazione dice che riceverai 0,5000 ETH invece di 0,5015 ETH: un price impact di circa lo 0,3%. La tolleranza decide poi il minimo che accetti rispetto a quella quotazione.

Tolleranza di slippage (esempio)	Minimo ricevuto	Massima perdita rispetto alla quotazione	A un prezzo d’esempio di 2.000 $ per ETH
0,5%	0,4975 ETH	0,0025 ETH	5 $
1%	0,4950 ETH	0,0050 ETH	10 $
3%	0,4850 ETH	0,0150 ETH	30 $
5%	0,4750 ETH	0,0250 ETH	50 $

Se è troppo stretta, gli swap falliscono a ogni minimo scarto di prezzo, e ogni fallimento costa gas. Se è troppo larga, regali a chiunque possa riordinare le transazioni un margine da prendere. La guida di Uniswap dà l’ordine di grandezza: su un’operazione da 10.000 USDC, una tolleranza del 6% significa accettare circa 600 USDC in meno della quotazione. Le impostazioni automatiche esistono per un motivo; una tolleranza manuale ben sopra il suggerimento dell’app merita un secondo sguardo prima di firmare.

Perché lo slippage di uno swap è alto

Poche cause spiegano la maggior parte dei casi. Il pool è sottile, oppure la tua operazione è grande rispetto a esso. Il token è nuovo o volatile, quindi il suo prezzo si muove tra la quotazione e l’inclusione. Il token applica una commissione a ogni trasferimento, il che obbliga a una tolleranza più alta (e i token truffa sfruttano proprio questo). Il mercato corre, o la rete è congestionata e la tua transazione resta in attesa. Oppure la tolleranza è stata alzata a mano e un bot l’ha sfruttata tutta.

Attacchi sandwich: come i bot MEV operano intorno a te e come evitarli

Su Ethereum una transazione di solito attende in una coda pubblica, la mempool, prima che un block builder la includa. I bot leggono quella coda. Quando uno vede uno swap abbastanza grande e con margine nella tolleranza di slippage, può piazzare un acquisto subito prima e una vendita subito dopo nello stesso blocco. La tua operazione spinge il prezzo in alto tra le due, e il bot incassa la differenza. È un attacco sandwich, una forma di quello che si chiama MEV (maximal extractable value), che una lezione successiva tratta a fondo.

La portata è misurabile. I dati della società di analisi EigenPhi, pubblicati da Cointelegraph Research il 4 dicembre 2025, riguardano Ethereum da novembre 2024 a ottobre 2025.

Attacchi sandwich su Ethereum, nov 2024 – ott 2025 (EigenPhi)	Dato
Attacchi nel periodo	più di 95.000
Attacchi al mese	da 60.000 a 90.000
Perdite stimate dei trader in un anno	circa 60 milioni di dollari
Valore estratto al mese, fine 2024	quasi 10 milioni di dollari
Valore estratto al mese, ottobre 2025	circa 2,5 milioni di dollari
Profitto medio per attacco	poco sopra 3 dollari
Bot distinti a ottobre 2025	515 (circa 100 attivi in un mese tipico)

Questi numeri dicono due cose. Il danno per singola operazione è di solito piccolo, qualche dollaro, e la maggior parte del valore va ai block builder tramite le commissioni più che ai bot. Ma è sistematico: ogni swap inviato nella mempool pubblica con una tolleranza larga è un candidato.

Le protezioni che funzionano sulla mainnet di Ethereum

Il tuo wallet parla con la blockchain tramite un indirizzo RPC, un server che inoltra le tue transazioni. Un RPC privato invia la transazione ai builder senza passare dalla mempool pubblica, quindi i bot sandwich non la vedono prima che sia inclusa. Flashbots Protect è uno di questi: secondo la sua documentazione serve la mainnet di Ethereum (e ha un endpoint Sepolia separato per le prove) e include solo transazioni che non andranno in revert, così uno swap fallito non costa nulla. MEV Blocker è un altro, che la sua documentazione descrive come un insieme di endpoint RPC per Ethereum che restituiscono agli utenti anche parte del profitto dei bot che operano subito dopo di loro (back-running).

Aggiungerne uno richiede un minuto nella maggior parte dei wallet: aggiungi una rete a mano, dalle un nome, inserisci l’indirizzo RPC preso dalla documentazione del fornitore (per Flashbots Protect, https://rpc.flashbots.net/fast), ID di catena 1, valuta ETH, poi passa a quella rete. Flashbots avverte di non cambiare RPC mentre una transazione è ancora in sospeso, perché il wallet potrebbe ritrasmetterla alla mempool pubblica.

Gli swap basati su intenti sono la seconda strada. Con UniswapX firmi un ordine e dei filler in concorrenza lo eseguono tramite un’asta olandese il cui prezzo decresce da uno scenario migliore verso il tuo minimo; la documentazione di Uniswap dice che chi scambia non paga gas e che gli ordini falliti non costano nulla. CoW Protocol raccoglie gli ordini in aste a lotti regolate a un unico prezzo uniforme per coppia, il che rende irrilevante l’ordine delle transazioni nel lotto e non lascia al sandwich nulla su cui lavorare. Quali reti e quali token ciascuno serva cambia: controlla l’app al momento dell’operazione.

Due abitudini più semplici valgono ovunque, anche sui livelli 2, che la documentazione di questi due servizi non copre: tieni stretta la tolleranza di slippage ed evita i pool sottili, dove una piccola operazione sposta molto il prezzo. Niente di tutto questo ti protegge da un token cattivo, da un sito falso o da un’approvazione che non avresti dovuto firmare.

Approvazioni dei token: il permesso che dimentichi

Scambiare un token ERC-20 richiede due tipi di azione. ERC-20 è lo standard seguito dalla maggior parte dei token su Ethereum e sui suoi livelli 2. Prima chiami la sua funzione approve, che permette a un altro indirizzo, lo spender, di muovere fino a un certo importo dei tuoi token. Lo standard la accoppia ad allowance, che mostra quanto permesso resta, e a transferFrom, che lo spender usa per prelevare i token. Poi il contratto del DEX usa quel permesso durante lo swap.

Molte app chiedono un importo illimitato, così non paghi una nuova approvazione a ogni operazione. È comodo, ma il permesso resta anche dopo che hai lasciato il sito. Come spiega Revoke.cash nelle sue pagine didattiche, una volta concesso può essere usato in qualsiasi momento, e se il contratto viene poi violato o era malevolo fin dall’inizio, i token che può spendere possono essere sottratti.

Permit2 sposta il rischio, non lo elimina

Il contratto Permit2 di Uniswap cambia lo schema. Approvi Permit2 una sola volta per token, con una normale approvazione ERC-20. Poi ogni app ottiene o un’allowance con un importo e una data di scadenza, o un singolo trasferimento firmato che non lascia alcuna allowance. È più pulito, ma l’approvazione a Permit2 stesso è di norma impostata all’importo massimo, come nota la documentazione di Uniswap, e una firma può ora concedere un diritto di spesa senza alcuna transazione né gas. I siti di phishing sfruttano proprio questo: una richiesta di firma dall’aspetto innocuo al posto di una transazione. Leggi ogni richiesta di firma con la stessa attenzione di un pagamento.

Come controllare e revocare le approvazioni

1. Apri Revoke.cash, che dichiara di supportare più di 80 reti, oppure il controllo delle approvazioni dei token di Etherscan (o l’equivalente sull’explorer del tuo livello 2).
2. Inserisci il tuo indirizzo pubblico per vedere l’elenco, oppure collega il wallet se vuoi modificare qualcosa.
3. Seleziona la rete; le approvazioni sono elencate per blockchain.
4. Ordina per spender e cerca importi illimitati, contratti che non riconosci e siti che non usi più.
5. Revoca, oppure abbassa l’importo. Revocare riporta l’allowance a zero, quindi è una transazione e costa gas. La nostra stima, dai prezzi del gas su Base del 29 ottobre 2026 (circa 0,006 gwei), è ben sotto un centesimo per una revoca; controlla il costo di rete che ti mostra il wallet.

Un wallet separato per gli esperimenti sui DEX limita il danno di qualsiasi approvazione sbagliata: ciò che può perdere è soltanto ciò che contiene.

Front end di phishing e dirottamenti DNS

Il caso Curve dell’agosto 2022 non fu isolato. L’11 luglio 2024 diversi siti DeFi registrati tramite il fornitore di domini Squarespace furono presi di mira contemporaneamente. Il dominio di Compound fu reindirizzato a una pagina con un wallet drainer, e Celer Network disse che il suo monitoraggio dei domini aveva intercettato la presa di controllo prima che riuscisse, secondo Cointelegraph. Uno sviluppatore di DefiLlama pubblicò un elenco di più di 100 protocolli DeFi, tra cui Pendle, potenzialmente esposti. In quei resoconti non fu pubblicata alcuna cifra sulla perdita totale.

La trappola più comune oggi è l’annuncio sul motore di ricerca. Il 26 maggio 2026 Cointelegraph ha riferito di una campagna di risultati sponsorizzati su Google che portavano a una copia del sito di Uniswap. L’aveva segnalata un analista on-chain noto come b-block, e i truffatori detenevano almeno 400.000 dollari, secondo il resoconto di Cointelegraph, l’unico in cui abbiamo trovato quella cifra. L’articolo non dice come ciascun wallet sia stato svuotato. Un sito clonato ha comunque bisogno di qualcosa dal visitatore, di solito un’approvazione o una firma, come nel caso Curve.

Per chi vive in Italia c’è un riferimento ufficiale in più. Consob oscura i siti che offrono servizi finanziari abusivi: il 29 ottobre 2026 la home page dell’autorità segnalava l’oscuramento di 8 siti internet per abusivismo finanziario. Vale come promemoria che i siti falsi esistono e che le autorità intervengono, ma quasi sempre dopo: un sito clonato cambia indirizzo in fretta, quindi l’elenco delle segnalazioni non sostituisce i controlli descritti qui.

Le abitudini che ne discendono sono banali ed efficaci:

• Salva una sola volta tra i segnalibri l’indirizzo ufficiale, preso dalla documentazione o dall’account ufficiale del progetto, e apri il DEX solo da quel segnalibro.
• Non cliccare mai un risultato sponsorizzato per un’app crypto, anche quando l’indirizzo mostrato sembra giusto.
• Leggi l’anteprima del wallet: quale contratto approvi, per quanto, e se una richiesta di firma concede un diritto di spesa.
• Dai peso agli avvisi dei controlli di sicurezza del wallet; diversi wallet segnalano i siti malevoli noti.
• Tieni i risparmi di lungo periodo in un altro wallet, meglio se su un dispositivo hardware, e diffida dal firmare con un hardware wallet che non sa mostrare ciò che firmi.
• Quando un protocollo annuncia che il suo front end è compromesso, smetti di usarlo e revoca le approvazioni che gli avevi dato.

Se hai già firmato qualcosa di sbagliato, conta più la velocità della diagnosi: revoca l’approvazione, sposta ciò che resta in un nuovo wallet con una nuova seed phrase e considera una seconda truffa chiunque ti offra di recuperare i fondi dietro compenso. Le nostre guide su che cosa fare dopo un furto di crypto e su come evitare le truffe crypto illustrano i passaggi.

Cosa significa uno swap su un DEX per le tue tasse

Uno swap tra due token sembra uno spostamento di denaro dentro il proprio wallet. In Italia il punto di partenza è che le plusvalenze da cripto-attività realizzate nel 2026 sono tassate al 33%, secondo la legge 207/2024. Ma non ogni scambio è un realizzo: l’Agenzia delle Entrate, nella circolare 30/E del 27 ottobre 2023, ha considerato fiscalmente neutri gli scambi tra cripto-attività con le stesse caratteristiche e funzioni.

Quali coppie rientrino in questa regola, per esempio uno swap verso una stablecoin, è una domanda da porre a un commercialista: non esiste una risposta secca valida per ogni caso. Per un quadro completo delle regole, delle dichiarazioni e dei casi dubbi rimandiamo alla nostra guida su le tasse sulle crypto in Italia.

Altrove le regole sono diverse. Negli Stati Uniti la pagina dell’IRS sugli asset digitali include lo scambio di un asset digitale con un altro tra le operazioni per cui si risponde Sì alla domanda sugli asset digitali del Form 1040, e in pratica ogni swap è una cessione del token che si dà via. Nel Regno Unito il Cryptoassets Manual di HMRC elenca lo scambio di token con un tipo diverso di token tra le cessioni rilevanti per la Capital Gains Tax (CRYPTO22100). La Francia, per esempio, differisce l’imposta sugli scambi tra cripto-attività senza saldo in denaro (un sursis d’imposition), secondo le domande e risposte dell’amministrazione fiscale francese aggiornate il 17 luglio 2026.

Qualunque sia il paese, un DEX non ti invia alcun estratto: conserva l’hash della transazione, la data, gli importi e il controvalore in euro di ogni swap.

Come usare un DEX in sicurezza: una routine prima di ogni swap

• Esercitati su una testnet che il tuo front end supporta in quel momento, prima di ogni nuovo tipo di operazione.
• Raggiungi il DEX dal tuo segnalibro, mai da un annuncio o da un link in un messaggio.
• Usa un wallet separato, con fondi limitati, per l’attività sui DEX.
• Incolla l’indirizzo di contratto del token dal sito ufficiale del progetto o dalla sua pagina su CoinGecko e confrontalo con la schermata di swap.
• Parti da un importo piccolo e tieni un po’ del token di gas della rete.
• Leggi price impact e minimo ricevuto; tieni la tolleranza di slippage vicina all’impostazione automatica dell’app.
• Sulla mainnet di Ethereum, invia tramite un RPC privato o uno swap basato su intenti.
• Leggi ogni richiesta di approvazione e di firma: spender, importo, scadenza.
• Controlla e revoca le approvazioni che non ti servono più, ogni poche settimane.
• Registra l’hash della transazione e il controvalore in euro dello swap per i tuoi registri fiscali.

La matematica dei prezzi dei pool e i meccanismi più profondi del MEV avranno ciascuno una lezione successiva nel percorso DeFi. Prima di allora, l’esercizio più economico è quello di questa guida: uno swap su testnet, uno swap di pochi euro su un livello 2 e uno sguardo alle tue approvazioni su Revoke.cash.