Un token che non avete mai comprato compare nel vostro portafoglio. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il nome sembra un invito: riscuoti 5.000 USDT, visita un sito, fai in fretta prima di mezzanotte. Di regalo, qui, non c’è niente. Le truffe con airdrop crypto raramente portano via qualcosa nel momento in cui il token arriva. Colpiscono al passo successivo, quando collegate il portafoglio al sito indicato dal token e firmate ciò che vi chiede.
Quel secondo passo è tutto il gioco. Una finta pagina di claim chiede un permesso che consente a uno script di svuotare il wallet. Un indirizzo quasi identico, piantato nella cronologia delle vostre transazioni, aspetta che lo copiate. Un account di un personaggio famoso promette di raddoppiare quanto gli mandate. L’esca cambia; la mossa che serve al truffatore, invece, è sempre una che compite voi.
La nostra panoramica sulle truffe crypto passa in rassegna ogni famiglia di frode, e la lezione precedente sulle false piattaforme di investimento crypto riguardava i siti che fingono di far crescere il vostro deposito. Questa lezione resta sull’esca del denaro gratis: finti siti di claim e wallet drainer, token scaricati nel portafoglio, address poisoning e giveaway che sfruttano nomi famosi, con casi reali, cifre datate e una routine per controllare un airdrop prima di toccarlo.
Gli airdrop sono sicuri? Esistono quelli veri, ed è per questo che le truffe funzionano
Un airdrop è una distribuzione di token a indirizzi di portafoglio, di solito per premiare i primi utenti di un protocollo o per diffondere un nuovo token. Alcuni vengono accreditati direttamente. La maggior parte di quelli grandi chiede invece di andare sul sito del progetto, collegare il wallet e inviare una transazione di claim.
L’esempio più noto è Uniswap. Il 16 settembre 2020 l’exchange decentralizzato ha lanciato il token UNI e ha lasciato che gli utenti del passato riscuotessero 400 UNI ciascuno. Aveva diritto ogni indirizzo che avesse interagito con i contratti Uniswap v1 o v2 prima di uno snapshot del 1° settembre 2020 alle 00:00 UTC, compresi circa 12.000 indirizzi che avevano inviato soltanto transazioni fallite: 251.534 indirizzi in tutto, secondo l’annuncio di Uniswap. Circa 49.000 fornitori di liquidità del passato si sono divisi altri 49,2 milioni di UNI, in proporzione. Chi mesi prima aveva scambiato qualche dollaro di token si è ritrovato con qualcosa da riscuotere.
I truffatori hanno imparato due lezioni da airdrop come questo. Gli utenti collegano il wallet e firmano transazioni pur di avere token gratis, e lo fanno in fretta, perché le finestre di claim e i movimenti di prezzo creano urgenza. Ogni volta che viene annunciato un airdrop vero arrivano le pagine di claim clonate, con lo stesso logo, un dominio che differisce di una sola lettera da quello reale e un pulsante «Claim». Un airdrop autentico è la migliore copertura che uno finto possa trovare.
La risposta onesta alla domanda «gli airdrop sono sicuri?» ha dunque due parti. Ricevere dei token non è dannoso di per sé. Il pericolo sta in ciò che vi viene chiesto di fare dopo, e dove.
Finti siti di claim e wallet drainer
Che cosa fa un drainer quando vi collegate
Un wallet drainer è un kit di script e smart contract venduto o affittato ai truffatori. Il sito di phishing sembra la pagina di claim di un progetto vero. Quando un visitatore collega il wallet, lo script legge che cosa contiene e chiede una firma o un’approvazione che consegna per primi gli asset di maggior valore. Il visitatore crede di riscuotere dei token. In realtà sta autorizzando un trasferimento in uscita.
I drainer funzionano come aziende. Scam Sniffer, società di sicurezza Web3 specializzata nelle truffe, ha contato oltre 5,9 milioni di dollari sottratti a 4.888 vittime da Inferno Drainer al 22 maggio 2023, attraverso almeno 689 siti falsi che imitavano 229 marchi, ha riferito BleepingComputer; gli operatori versavano agli sviluppatori del kit il 20% del bottino, o fino al 30% se gli sviluppatori realizzavano anche i siti di phishing. Group-IB, altra società di sicurezza, ha descritto nel gennaio 2024 come le pagine di Inferno attirassero i visitatori con formule come «Exclusive airdrop» e «The biggest airdrop», citando una stima di Scam Sniffer di almeno 80 milioni di dollari rubati tra novembre 2022 e novembre 2023 attraverso più di 16.000 domini.
Inferno era un marchio tra tanti. MS Drainer, seguito da Scam Sniffer dal marzo 2023, ha incassato circa 58,98 milioni di dollari da circa 63.210 vittime in nove mesi circa, secondo il rapporto del 21 dicembre 2023; una singola vittima ha perso circa 24 milioni di dollari su Ethereum nel settembre 2023. A metà maggio 2024 Pink Drainer ha comunicato ai clienti la chiusura, ha scritto The Block il 17 maggio, dopo aver sottratto circa 85 milioni di dollari a più di 21.000 vittime nell’anno precedente, secondo i dati di Scam Sniffer.
| Drainer o misura | Perdite | Vittime | Periodo e fonte |
|---|---|---|---|
| Inferno Drainer (primo conteggio) | oltre 5,9 milioni di dollari | 4.888 | fino al 22 maggio 2023, Scam Sniffer tramite BleepingComputer |
| Inferno Drainer (stima) | almeno 80 milioni di dollari | non indicate | nov. 2022 – nov. 2023, stima di Scam Sniffer citata da Group-IB |
| MS Drainer | circa 58,98 milioni di dollari | circa 63.210 | marzo – dicembre 2023, Scam Sniffer |
| Pink Drainer | circa 85 milioni di dollari | oltre 21.000 | anno fino al 17 maggio 2024, dati Scam Sniffer tramite The Block |
| Tutto il phishing con drainer, 2024 | circa 494 milioni di dollari | non indicate qui | rapporto annuale Scam Sniffer, gennaio 2026 |
| Tutto il phishing con drainer, 2025 | 83,85 milioni di dollari | 106.106 | rapporto annuale Scam Sniffer, gennaio 2026 |
La tendenza si è invertita, almeno secondo questa misura. Il rapporto di Scam Sniffer pubblicato il 3 gennaio 2026 ha contato 83,85 milioni di dollari persi nel 2025 per il phishing con drainer, l’83% in meno rispetto al 2024, con 106.106 vittime (meno 68%) e una perdita media di 790 dollari. Soltanto 11 casi hanno superato il milione di dollari, contro 30 dell’anno prima. La società definisce le sue cifre un minimo: riguardano solo gli attacchi con drainer tramite siti di phishing e lasciano fuori hack diretti, compromissioni di exchange ed exploit di smart contract.
Approvazioni e firme permit, in parole semplici
Due tipi di permesso fanno la maggior parte dei danni. Il primo è la classica approvazione di un token. Su Ethereum e sulle chain simili, un token come USDC permette di autorizzare uno smart contract a spostare i vostri token al posto vostro, ed è così che funzionano gli exchange decentralizzati. L’approvazione è una transazione per cui pagate il gas e resta valida finché non la annullate. Revoke.cash, che sviluppa uno strumento per cancellarle, la mette così: un contratto che avete approvato può spendere quei token in qualsiasi momento, per tutto il tempo in cui l’allowance resta attiva. Molte app chiedono per impostazione predefinita un’allowance illimitata. ethereum.org avverte che una spesa illimitata potrebbe permettere a un contratto di svuotare il vostro portafoglio.
Il secondo tipo è più silenzioso. Lo standard EIP-2612, detto «permit», consente a chi detiene un token di concedere un’allowance firmando un messaggio invece di inviare una transazione. Niente gas, niente di visibile sulla chain nel momento in cui firmate. Chiunque abbia quella firma può poi presentarla al contratto del token. Il contratto Permit2 di Uniswap si basa sulla stessa idea per qualsiasi token. Per un truffatore un permit firmato è l’ideale: la vittima vede un pop-up del wallet con un testo che non legge, clicca «Firma» e il trasferimento avviene più tardi, da un portafoglio di cui non ha mai sentito parlare.
Le cifre mostrano quanto conti. Dei 22,98 milioni di dollari persi nei 11 maggiori casi di drainer del 2025, le firme Permit e Permit2 hanno pesato per circa 8,72 milioni di dollari, circa il 38%, davanti alle approvazioni classiche con circa il 24%, ha rilevato Scam Sniffer. Il singolo furto più grande dell’anno, circa 6,5 milioni di dollari nel settembre 2025, ha usato una firma Permit. Una variante più recente è comparsa dopo l’aggiornamento Pectra di Ethereum: firme EIP-7702 malevole che raggruppano più operazioni in una, all’origine di due grandi casi dell’agosto 2025 per un totale di circa 2,54 milioni di dollari.
La regola che ne discende: una firma può essere pericolosa quanto una transazione. «Firma» non vuol dire «accedi». Se una pagina di claim vi chiede di firmare qualcosa che non riuscite a leggere, o che cita uno spender, un importo o una scadenza, vi sta chiedendo di cedere il controllo dei token.
Come si arriva alla pagina falsa
Nessuno digita l’indirizzo di un sito di phishing. Ci si viene portati. MS Drainer è il caso documentato di pubblicità a pagamento: Scam Sniffer lo ha trovato per la prima volta dietro annunci di phishing nei risultati di ricerca di Google nel marzo 2023, lo ha rivisto a fine aprile in un finto annuncio per il protocollo di prestiti Radiant e ha poi scoperto che sei dei nove annunci di phishing campionati su X usavano lo stesso kit. Una ricerca di «[nome del progetto] airdrop» può mettere un falso a pagamento sopra il sito vero.
Le altre vie sono sociali. Account di X rubati o contraffatti rispondono all’annuncio reale di un progetto con un link «riscuoti qui». Sui server Discord compare un finto post di mint o di airdrop dopo la compromissione dell’account di un moderatore. I messaggi diretti su Telegram assicurano che «il tuo wallet è idoneo». La pagina stessa mostra spesso un conto alla rovescia, perché chi ha fretta non controlla il dominio.
Token scaricati nel vostro portafoglio
Il token non richiesto dell’apertura di questa lezione è la versione più economica della trappola. Inviare token a migliaia di indirizzi costa poco sulle chain con commissioni basse, e il nome o il simbolo del token può essere esso stesso una pubblicità: un URL, un importo in dollari, la parola «reward». Alcuni arrivano come NFT la cui immagine mostra un link di claim.
Ricevere un token del genere non è il problema. La pagina di supporto di MetaMask è netta: nessuno può accedere ai vostri fondi per il solo fatto di aver depositato token nel vostro wallet. La truffa comincia quando cercate di fare qualcosa con quel token. MetaMask descrive il percorso tipico: il token sembra avere valore su un block explorer, provate a venderlo o scambiarlo, un messaggio di errore (spesso sulla pagina di una transazione fallita) vi indirizza a un sito fraudolento, e quel sito vi chiede di approvare una transazione, di concedere accesso ai vostri token o di digitare la Secret Recovery Phrase. ethereum.org descrive lo stesso schema per gli NFT e i token inviati con airdrop: è riscuoterli sul sito indicato che compromette l’account.
Che cosa è sicuro: lasciare il token dov’è, oppure nasconderlo nell’interfaccia del wallet. Nascondere non cambia nulla sulla chain e non costa niente. Che cosa non lo è: visitare il sito citato nel token, provare a venderlo su una pagina di exchange sconosciuta, approvarlo per lo scambio o «riscuotere» un bonus collegato. Alcuni di questi token sono costruiti in modo da non poter essere venduti affatto, il meccanismo honeypot spiegato nella nostra lezione sui rug pull; il tentativo di vendita serve solo a farvi interagire.
L’FBI ha documentato una variante in un avviso pubblico del 3 giugno 2025. Gli utenti di wallet non custodial sulla rete Hedera ricevevano NFT in airdrop presentati come premi gratuiti, con il link a un sito di terzi scritto nel campo memo della transazione. Le vittime che lo seguivano dovevano collegare il wallet al sito, oppure digitare password e seed phrase, e poi vedevano le proprie crypto uscire. Il consiglio dell’FBI: confermare con il fornitore qualsiasi offerta di token non richiesta prima di accettarla, e non consegnare mai la seed phrase a chi vi ha contattato per primo.
MetaMask suggerisce tre controlli prima di considerare vero un token sconosciuto. Il wallet lo mostra con il rilevamento dei token attivo, che si basa su elenchi curati? Il block explorer della rete lo segnala? Il progetto ha un sito, una community e persone identificabili? La sintesi di MetaMask: nel dubbio, non rischiate.
C’è un altro motivo per non liquidare le voci strane nel portafoglio. Un minuscolo trasferimento in entrata da un indirizzo che non conoscete può non essere affatto la pubblicità di un token. Può essere la preparazione del trucco successivo.
Address poisoning: la trappola nascosta nella vostra cronologia
Gli indirizzi crypto sono stringhe lunghe che nessuno legge per intero. Quasi tutti controllano i primi e gli ultimi caratteri, e molti copiano un indirizzo dall’attività recente del wallet anziché da un contatto salvato. L’address poisoning sfrutta entrambe le abitudini. Se non siete sicuri di come sia fatto un indirizzo, la nostra guida su che cos’è un indirizzo crypto lo spiega.
L’attaccante osserva la chain in cerca di wallet che muovono somme importanti. Genera un indirizzo i cui caratteri iniziali e finali coincidono con quelli di una controparte abituale della vittima, poi invia alla vittima una cifra minuscola, o un trasferimento di token senza valore, da quell’indirizzo gemello. Il falso è ora nella cronologia, accanto a quello vero. La volta successiva che la vittima copia «l’indirizzo che uso sempre» da quell’elenco, può scegliere la riga sbagliata.
È un gioco di numeri, e rende. Uno studio del 2025 citato da Etherscan a marzo 2026 ha contato circa 17 milioni di tentativi di poisoning su Ethereum tra luglio 2022 e giugno 2024, rivolti a circa 1,3 milioni di utenti, con almeno 79,3 milioni di dollari persi; aggiungendo BNB Chain, lo studio ha individuato circa 270 milioni di trasferimenti «avvelenati» e circa 83,8 milioni di dollari di perdite. Un singolo tentativo riesce circa lo 0,01% delle volte su Ethereum, grosso modo una su 10.000, ma un grosso furto ripaga migliaia di fallimenti. In un esempio descritto da Etherscan, 13 trasferimenti avvelenati sono arrivati nel giro di un paio di minuti da un trasferimento genuino di USDT. Le commissioni più basse dopo l’aggiornamento Fusaka del 3 dicembre 2025 hanno reso lo spam più economico: nei 90 giorni successivi i trasferimenti di polvere di USDT sono aumentati di circa il 612% rispetto ai 90 giorni precedenti, secondo Etherscan, che precisa come non tutta la polvere sia poisoning.
Due casi mostrano le dimensioni. Il 3 maggio 2024, ha riferito ForkLog, un detentore ha inviato 1.155 wrapped bitcoin (wBTC), circa 68 milioni di dollari all’epoca, a un indirizzo contraffatto. L’attaccante li ha convertiti in ether. Dopo trattative iniziate il 10 maggio, con il coinvolgimento della società di sicurezza Match Systems e dell’exchange Cryptex, l’attaccante ha restituito circa 22.960 ETH, allora pari a circa 65,7 milioni di dollari, cioè poco più del 96% del valore in dollari sottratto, ha riportato Cointelegraph; nel frattempo l’ether si era mosso, quindi Match Systems ha parlato dell’intero importo rubato. Quel finale è un’eccezione rara, frutto di un attaccante rintracciabile e di pressioni esterne, e non dice nulla su ciò che accade di solito.
L’esito più comune assomiglia a questo. Nel dicembre 2025 un portafoglio ha perso 49.999.950 USDT, quasi 50 milioni di dollari, dopo che il proprietario aveva copiato dalla cronologia un indirizzo avvelenato, ha riportato Cointelegraph il 20 dicembre, citando l’investigatore on-chain Web3 Antivirus. Il falso coincideva con i primi tre e gli ultimi quattro caratteri di quello vero, ha fatto notare Cos, fondatore di SlowMist. La vittima aveva perfino inviato prima una piccola transazione di prova all’indirizzo corretto; pochi minuti dopo l’intero importo è finito su quello avvelenato. I fondi sono stati convertiti in ether, divisi tra più wallet e in parte spostati su Tornado Cash.
Quest’ultimo dettaglio conta. Una transazione di prova dimostra che l’indirizzo usato per il test è giusto. Non dimostra nulla sull’indirizzo che incollate per il secondo trasferimento. Le difese che funzionano sono noiose: tenete gli indirizzi che pagate spesso nella rubrica del wallet, usate un nome ENS o le etichette private di un explorer, e confrontate l’indirizzo completo, carattere per carattere, con una fonte esterna alla cronologia. Etherscan evidenzia anche gli indirizzi corrispondenti, quindi due indirizzi quasi identici con evidenziazione diversa tradiscono il trucco, e mostra un avviso quando copiate un indirizzo collegato ad attività sospette. La sua regola è verificare l’indirizzo di destinazione prima di inviare fondi, perché recuperare quelli mandati all’indirizzo sbagliato è estremamente improbabile.
Giveaway, celebrità e il trucco «ne mandi uno, ne ricevi due»
Il giveaway è il più vecchio di questi schemi e il meno tecnico. Un nome famoso, o un account che gli somiglia, annuncia che per un periodo limitato qualsiasi crypto inviata a un indirizzo tornerà raddoppiata. Non torna mai niente. ethereum.org lo dice in una riga: «I giveaway sono sempre truffe.» La Federal Trade Commission statunitense dice lo stesso di chiunque prometta di moltiplicare le crypto che inviate.
Il caso che ha dimostrato come anche un account vero e verificato possa portare la proposta risale al 15 luglio 2020. Alcuni hacker presero il controllo di circa 130 account Twitter di politici, celebrità e aziende e pubblicarono da lì l’offerta di raddoppio. Secondo le denunce penali descritte dalla Procura federale del Distretto Nord della California, l’indirizzo bitcoin della truffa ricevette più di 400 trasferimenti per oltre 100.000 dollari.
Il 31 luglio 2020 i procuratori federali incriminarono due uomini: Mason Sheppard, 19 anni, di Bognor Regis nel Regno Unito, per associazione a delinquere finalizzata alla frode telematica, al riciclaggio e all’accesso intenzionale a un computer protetto, e Nima Fazeli, 22 anni, di Orlando, per concorso in quell’accesso. Il terzo sospettato, un minorenne, fu affidato al procuratore dello Stato a Tampa, in Florida. Un cittadino britannico incriminato in seguito, Joseph James O’Connor, noto come «PlugwalkJoe», fu estradato dalla Spagna e il 9 maggio 2023 si dichiarò colpevole di reati che comprendevano il suo ruolo nell’hack di Twitter, dopo l’estradizione di aprile; il 23 giugno 2023 il giudice Jed Rakoff a Manhattan lo condannò a cinque anni di carcere, seguiti da tre anni di libertà vigilata, e gli ordinò di confiscare 794.012,64 dollari. Lo stesso procedimento riguardava anche furti con SIM swap e stalking informatico, oltre alla violazione di Twitter.
La formula è andata ben oltre un singolo attacco. La FTC ha dichiarato nel maggio 2021 che le persone avevano segnalato perdite per più di 2 milioni di dollari a imitatori di Elon Musk in circa sei mesi, all’interno di quasi 7.000 segnalazioni di truffe d’investimento in crypto per oltre 80 milioni di dollari tra ottobre 2020 e marzo 2021. Nell’aprile 2020 Ripple e il suo amministratore delegato Brad Garlinghouse hanno citato in giudizio YouTube, sostenendo che la piattaforma lasciasse circolare finti video di «XRP giveaway» su canali violati; erano accuse di Ripple contenute in un atto di citazione, non accertamenti di un tribunale.
Il video rende il trucco più convincente, non più vero. Un canale violato con un grande pubblico, una vecchia intervista a un fondatore rimandata come se fosse in diretta, un volto e una voce generati da un software possono stare accanto a un QR code e a un indirizzo di portafoglio. Il test non cambia con la qualità della produzione: nessuna azienda o persona autentica vi chiede di inviare crypto per riceverne di più.
Come controllare un airdrop crypto prima di toccarlo
Nessuna lista rende un claim privo di rischi, ma la maggior parte delle truffe con airdrop fallisce uno di questi test. Eseguiteli in ordine e fermatevi al primo che non passa.
- Trovate voi la pagina di claim. Partite dal sito o dalla documentazione del progetto, raggiunti digitando l’indirizzo che già conoscete o da un segnalibro, e seguite da lì il link al claim. Un link in una risposta, in un messaggio diretto, in un annuncio di ricerca o nel nome di un token non vale.
- Chiedetevi se ve lo aspettavate. Gli airdrop veri premiano qualcosa che avete fatto, come usare il protocollo prima di uno snapshot. Un token che appare dal nulla, con un link nel nome, fa pubblicità a una trappola.
- Non inserite mai la seed phrase. Nessun airdrop, aggiornamento del wallet o «verifica» ne ha bisogno. La nostra guida sulla sicurezza della seed phrase spiega perché quella frase è il portafoglio stesso.
- Leggete ogni pop-up del wallet. Un claim è di norma una transazione che chiama una funzione di claim e costa un po’ di gas. Su una pagina di claim, la richiesta di approvare un token, firmare un permit, impostare l’approvazione per tutti i vostri NFT o firmare un messaggio illeggibile è un campanello d’allarme.
- Riscuotete con un wallet separato. Un wallet «usa e getta» che contiene solo un po’ di ETH per il gas limita il costo di qualsiasi errore. Spostate i token riscossi altrove in un secondo momento, se volete tenerli.
- Ignorate l’orologio. Le finestre di claim vere durano di solito settimane o mesi. Un conto alla rovescia di pochi minuti serve a impedirvi di controllare.
- Fate pulizia dopo. Controllate le approvazioni concesse dal vostro wallet, con l’Etherscan token approval checker o uno strumento come Revoke.cash, e annullate quelle che non vi servono. Ogni revoca è una transazione e costa gas.
Un hardware wallet aiuta meno di quanto si pensi. Tiene le chiavi lontane dal computer, il che conta per molti attacchi, come spiega la nostra guida su come configurare un hardware wallet. Ma se confermate sul suo schermo un’approvazione o un permit malevolo, il dispositivo lo firma fedelmente. Protegge la chiave, non il vostro giudizio.
| Passaggio del claim | Che cosa è normale | Campanello d’allarme |
|---|---|---|
| Trovare la pagina | Link sul sito o nella documentazione del progetto | Link da un annuncio, una risposta, un DM o il nome di un token |
| Collegare il wallet | Collegamento, poi una sola transazione di claim | Collegamento seguito da più approvazioni |
| Che cosa firmate | Una chiamata di claim con piccole commissioni di gas | Permit, «setApprovalForAll», allowance illimitata, messaggio illeggibile |
| Dati segreti | Mai richiesti | Seed phrase o chiave privata «per verificare l’idoneità» |
| Tempi | Da giorni a mesi per riscuotere | Conto alla rovescia di minuti, «ultima occasione» |
| Pagamento | Solo il gas della rete | Una «commissione» o un deposito inviato a un indirizzo per sbloccare i token |
I siti di claim sono applicazioni web che dialogano con il vostro wallet, perciò conviene capire come una dapp interagisce con un wallet prima di cliccare su «Connect».
Se avete già cliccato o firmato
La rapidità conta più della certezza. Se avete firmato un’approvazione o un permit su un sito di cui ora dubitate, revocate le approvazioni che riuscite a vedere e spostate ciò che resta in quel wallet su un nuovo wallet creato con una nuova seed phrase, perché un permit firmato può essere ancora utilizzabile da chi lo possiede. Se avete digitato la seed phrase da qualche parte, considerate l’intero portafoglio perso a favore dell’attaccante e spostate subito tutto ciò che rimane. Conservate gli hash delle transazioni, gli indirizzi coinvolti e gli screenshot del sito.
In Italia: Polizia Postale e Consob
Per un lettore italiano il primo punto di contatto è la Polizia Postale, raggiungibile attraverso il Commissariato di PS online, oppure qualsiasi ufficio di Polizia o dei Carabinieri. Come ricorda la nostra panoramica sulle truffe crypto, la segnalazione inviata online va poi confermata e firmata di persona presso un ufficio di polizia, con il numero di protocollo e tutte le prove raccolte: solo allora ha pieno valore legale. Portate con voi quello che avete conservato: hash, indirizzi, chat e screenshot.
La Consob pubblica avvisi ai risparmiatori e fa oscurare i siti fraudolenti: prima di dare fiducia a un sito che promette token o rendimenti, controllate se compare tra gli avvisi e tra i siti oscurati dell’autorità. Non comparire in quegli elenchi, però, non dimostra che un sito sia affidabile. Ciò che le segnalazioni, le società di tracciamento e gli exchange possono e non possono fare per una vittima è l’argomento di una lezione successiva di questo percorso. Diffidate di chiunque vi contatti offrendosi di recuperare il denaro in cambio di un compenso.
Negli Stati Uniti e nel Regno Unito
Negli Stati Uniti la FTC indica come luoghi dove segnalare le frodi crypto ReportFraud.ftc.gov, l’ic3.gov dell’FBI, la CFTC e la SEC. L’Internet Crime Complaint Center dell’FBI ha ricevuto nel 2025 181.565 denunce con un collegamento a una criptovaluta, con perdite dichiarate di 11,366 miliardi di dollari, secondo il suo rapporto annuale 2025, che non ha una categoria separata per le truffe con airdrop o drainer. In Inghilterra, Galles e Irlanda del Nord Report Fraud, gestito dalla polizia della City di Londra, ha sostituito Action Fraud dal 4 dicembre 2025 (in Scozia si segnala alla Police Scotland al numero 101); nel Regno Unito conviene anche verificare ogni società nel registro della FCA.
Una nota fiscale sugli airdrop veri
Un airdrop autentico può generare un’imposta. Negli Stati Uniti l’IRS ha stabilito con la Revenue Ruling 2019-24, pubblicata il 9 ottobre 2019, che il contribuente che riceve nuove monete in un airdrop successivo a un hard fork ha un reddito ordinario, misurato al valore equo di mercato nel momento in cui l’airdrop viene registrato sul ledger, purché il contribuente possa controllare le monete; un hard fork da solo, senza nulla ricevuto, non è reddito. Altri airdrop e altri Paesi hanno regole proprie, e per chi risiede in Italia il trattamento dipende dal caso: la nostra guida alla tassazione delle crypto in Italia parte dalle regole italiane, mentre la lezione sui principi fiscali di base illustra quelli generali. I token truffa che non avete mai riscosso e non potete vendere sono un’altra faccenda: non interagite con loro per «segnalarli».
Un’abitudine copre quasi tutta questa lezione: prima di firmare o inviare, cercate voi la pagina di claim, il contratto o l’indirizzo, partendo da una fonte di cui già vi fidate. La prossima lezione del percorso guarda a che cosa succede dopo un furto, che cosa possono ottenere tracciamento, blocchi degli exchange e denunce e dove si fermano.
