Che cos’è il social engineering nel crypto e come puoi riconoscerlo?

Il social engineering è importante da riconoscere perché basta un solo messaggio convincente, un solo file sbagliato o una sola conferma fatta senza pensarci per dare accesso a sistemi sensibili o al crypto.

Quanto possano essere gravi le conseguenze si vede bene in questo momento con Binance. Il 29 ottobre 2026 sono stati spostati dai wallet dell’exchange crypto per miliardi di dollari. Binance sta ancora indagando sull’incidente e dice che un laptop compromesso di un DevOps engineer potrebbe essere stato il primo punto di accesso. Secondo Binance, tramite quel laptop l’attaccante avrebbe potuto accedere a un service container e inviare richieste di prelievo non autorizzate.

L’impatto totale viene stimato da Binance al momento in circa 6,3 miliardi di dollari. Circa 3 miliardi di dollari in crypto colpite sarebbero già stati congelati on-chain, secondo l’exchange. Binance dice di non aver trovato prove che le private key dei wallet siano state esposte e afferma che coprirà tutte le perdite con il fondo SAFU e con i propri fondi aziendali coprirà tutte le perdite con il fondo SAFU e con i propri fondi aziendali. I depositi funzionano di nuovo normalmente, mentre al momento della scrittura i prelievi sono ancora sospesi a causa di modifiche all’infrastruttura dei prelievi.

Non è ancora noto esattamente come sia stato compromesso il laptop. Quindi non c’è ancora conferma che phishing, una finta offerta di lavoro o un’altra forma di social engineering abbiano causato l’attacco. Però l’incidente mostra bene perché gli attaccanti spesso prendono di mira persone e dispositivi con molti privilegi di accesso. Un solo account o dispositivo compromesso può dare accesso a sistemi molto più importanti.

Ed è proprio questo il punto del social engineering: non si tratta per forza di violare direttamente la sicurezza tecnica, ma di ingannare una persona in modo che, senza rendersene conto, dia accesso, condivida informazioni o compia un’azione dannosa.

In breve

• Il social engineering punta a ingannare le persone, così che condividano informazioni o compiano un’azione dannosa da sole.
• Gli attaccanti cercano per esempio credenziali di accesso, codici di verifica, seed phrase o private key.
• Anche una transazione dannosa o una token approval può causare danni finanziari senza che l’attaccante conosca la tua seed phrase.
• L’hack di Binance in corso mostra quanto possono essere gravi le conseguenze quando un dispositivo o un account con molti privilegi viene compromesso.

Che cos’è il social engineering nel crypto?

Il social engineering nel crypto è la manipolazione delle persone per farle condividere informazioni sensibili o compiere un’azione dannosa. Quindi l’attaccante non deve sempre entrare con la forza dal punto di vista tecnico. Spesso cerca invece di convincerti ad aprire un link, a condividere un codice, a inviare crypto o a confermare una richiesta del wallet.

Pensa a un messaggio falso di un crypto exchange, a qualcuno che si finge un dipendente di un crypto wallet o a qualcuno che si spaccia per un amico. L’obiettivo può essere ottenere le tue credenziali di accesso, un codice di verifica usa e getta, la tua seed phrase o la tua private key. Un attaccante può anche provare a convincerti a firmare una transazione dannosa o a dare il permesso di spostare token dal tuo wallet.

Il phishing è una forma nota di social engineering. In questo caso, per esempio, vieni portato su un sito falso dove ti viene chiesto di inserire credenziali o altre informazioni sensibili. Con la self-custody il rischio è ancora più alto. Chiunque abbia la tua seed phrase o la tua private key può, in pratica, gestire le crypto in quel wallet.

Però un attaccante non ha sempre bisogno della tua seed phrase per fare danni. Con una token approval dannosa, per esempio, dai a una dApp o a uno smart contract il permesso di spostare certi token dal tuo wallet. Se dai questo permesso a una parte malevola, quei token potrebbero essere prelevati dal tuo wallet.

Come funziona il social engineering nel crypto?

Il social engineering funziona combinando una storia credibile con un’azione che l’attaccante vuole ottenere da te. Quell’azione può sembrare innocua, come aprire un link o guardare un file, ma alla fine può dare accesso a dati, account o crypto.

Di solito il primo passo è stabilire un contatto. Può avvenire via e-mail, SMS, telefono, social media, un sito falso o persino un’offerta di lavoro. Poi l’attaccante cerca di costruire fiducia o creare urgenza. Infine arriva la richiesta vera e propria, per esempio aprire un software, condividere un codice di verifica, inviare crypto o firmare una transazione nel tuo wallet.

Un attacco può anche prendere di mira i dipendenti di aziende crypto. Nel furto DMM del 2024, per esempio, un attaccante si è finto un recruiter e, tramite un test di candidatura malevolo, è riuscito ad accedere ai sistemi di un’azienda che collaborava con DMM Bitcoin. L’attacco completo viene spiegato più avanti come esempio.

Il principio resta lo stesso: l’attaccante non cerca solo di aggirare la sicurezza tecnica, ma prima convince una persona a fare qualcosa che apre l’accesso.

Quali forme di social engineering sono comuni?

Diverse forme di social engineering possono essere combinate nello stesso attacco. Qualcuno che si finge un dipendente di un exchange può per esempio chiamarti, poi mandarti un link e infine chiederti di confermare una richiesta del wallet.

• Phishing: un messaggio falso, spesso via e-mail, con per esempio un link a una pagina di login contraffatta.
• Smishing: phishing via SMS o app di chat come WhatsApp e Telegram.
• Vishing: inganno via telefono, per esempio da parte di qualcuno che si finge l’assistenza clienti.
• Impersonation: qualcuno si finge un crypto exchange, un fornitore di wallet, un ente pubblico, un datore di lavoro, una persona famosa o un influencer.
• Investment e romance scam: un attaccante costruisce fiducia per un periodo più lungo e poi cerca di farti investire denaro o crypto tramite una piattaforma falsa.
• Airdrop e approval phishing: un’offerta di token gratuiti ti porta su una finta dApp o cerca di farti firmare una transazione dannosa o una token approval.
• Recruitment scam: una finta offerta di lavoro, un compito di programmazione o un test di candidatura viene usato per diffondere malware, rubare dati o ottenere accesso a un account.

Le crypto gratis sembrano allettanti. Proprio per questo un airdrop inatteso o un link esclusivo per richiedere token è un momento in cui devi controllare con ancora più attenzione chi è il mittente e verso quale sito vieni indirizzato.

Come vengono sfruttati fiducia e urgenza?

Gli attaccanti spesso cercano prima di guadagnarsi la tua fiducia fingendosi qualcuno che conosci o un’organizzazione che sembra affidabile. Pensa all’assistenza clienti di un crypto exchange, alla tua banca, a un datore di lavoro, a un amico o a qualcuno con cui hai costruito una relazione online.

Poi arriva spesso la pressione del tempo. Per esempio ti dicono che il tuo account verrà bloccato, che è stata rilevata una frode o che devi spostare subito le tue crypto su un altro wallet. L’obiettivo è farti agire in fretta, prima che tu controlli se la storia è vera.

Nel crypto questa pressione spesso va insieme a una richiesta di inviare crypto a un presunto wallet sicuro, scansionare un QR code, condividere un codice di verifica o firmare subito una transazione. Anche rendimenti garantiti, crypto gratis e promesse di guadagni eccezionalmente alti sono segnali d’allarme chiari.

Un messaggio urgente non è automaticamente una truffa. Ma la pressione del tempo, insieme a una richiesta di password, codici di verifica, seed phrase, private key, crypto o conferma di un wallet, è un forte campanello d’allarme.

Esempi noti di social engineering nel crypto

Gli attacchi noti mostrano che il social engineering può andare ben oltre lo spam semplice o una e-mail falsa. A volte un attaccante prende di mira per mesi i dipendenti di un’azienda crypto per ottenere alla fine accesso ai sistemi interni.

Un esempio chiaro è il furto DMM del 2024. Un attaccante si è finto un recruiter su LinkedIn e ha contattato un dipendente di Ginco, un’azienda che sviluppa software per wallet crypto aziendali. Al dipendente è stato inviato uno script Python malevolo, presentato come parte di un test di candidatura.

Dopo che gli attaccanti hanno ottenuto i dati di sessione del dipendente, secondo l’FBI sono riusciti a entrare nel sistema di comunicazione di Ginco. Quell’accesso sarebbe stato probabilmente usato per manipolare una richiesta di transazione legittima di DMM Bitcoin. Alla fine sono stati rubati 4.502,9 BTC, all’epoca per un valore di circa 308 milioni di dollari. L’FBI ha attribuito l’attacco a TraderTraitor, un gruppo di hacker nordcoreano.

Un altro schema molto comune è l’approval phishing. In questo caso firmi tu stesso una transazione blockchain con cui un indirizzo dell’attaccante o uno smart contract malevolo ottiene il permesso di spostare certi token dal tuo crypto wallet. La transazione può essere tecnicamente del tutto valida, mentre tu pensi di stare confermando qualcos’altro.

Esempio: vedi un’offerta di token gratuiti e colleghi il tuo crypto wallet a un sito. Poi compare una richiesta di conferma. Sembra che tu stia solo attivando la richiesta dei token gratuiti, ma in realtà potresti dare il permesso di spostare i token già presenti nel tuo wallet.

Per questo non basta controllare solo se un sito sembra affidabile. Guarda sempre con attenzione anche quale transazione o autorizzazione il tuo crypto wallet ti sta mostrando prima di confermare.

L’hack di Binance in corso di ottobre 2026

Un esempio molto recente di quanto possano essere gravi le conseguenze di un solo dispositivo compromesso è l’hack di Binance reso noto il 29 ottobre 2026. Nell’incidente sono stati spostati dai wallet dell’exchange crypto per miliardi di dollari.

Binance sta ancora indagando sull’attacco. Secondo i primi risultati dell’indagine, un laptop compromesso di un DevOps engineer sarebbe il possibile punto di accesso. Tramite quel laptop, un attaccante avrebbe potuto accedere a un service container e inviare transazioni di prelievo non autorizzate.

Binance stima al momento l’impatto totale in circa 6,3 miliardi di dollari. Circa 3 miliardi di dollari in crypto colpite sarebbero già stati congelati on-chain con l’aiuto di altre parti del settore crypto.

Binance dice di non aver trovato al momento prove che le private key dei suoi wallet siano state esposte. L’azienda afferma che i fondi dei clienti sono al sicuro e che tutte le perdite saranno coperte con il fondo SAFU e con i propri fondi aziendali.

Non è ancora stato stabilito in modo definitivo da Binance chi ci sia dietro l’attacco. Le società di blockchain intelligence come TRM Labs vedono però forti indizi di coinvolgimento di TraderTraitor, un gruppo di hacker nordcoreano già collegato ad altri grandi furti di crypto.

Non è ancora noto nemmeno come sia stato compromesso esattamente il laptop del DevOps engineer. Per questo, il 30 ottobre 2026, non c’è ancora conferma che phishing, una finta offerta di lavoro o un’altra forma di social engineering siano stati il primo passo dell’attacco.

Anche se quindi il social engineering non è ancora stato confermato come causa, il caso resta rilevante. Il possibile punto di accesso è un dispositivo di un dipendente con privilegi tecnici. Se un attaccante riesce a prendere il controllo di un dispositivo o di un account del genere, alla fine può ottenere accesso a sistemi molto più importanti.

La situazione è ancora in evoluzione. Binance ha annunciato che pubblicherà un rapporto tecnico dettagliato quando l’indagine sarà conclusa. I depositi funzionano di nuovo normalmente, mentre al momento della scrittura i prelievi sono ancora sospesi a causa di modifiche all’infrastruttura dei prelievi.

Perché gli utenti crypto sono vulnerabili al social engineering?

Gli utenti crypto sono vulnerabili al social engineering perché una sola azione sbagliata può avere conseguenze finanziarie immediate. Se in self-custody qualcuno ottiene la tua seed phrase o la tua private key, può gestire le crypto in quel wallet. E se confermi tu stesso un trasferimento crypto o un approval dannoso, quell’azione sulla blockchain di solito non si può semplicemente annullare.

Nei servizi finanziari tradizionali esistono a volte controlli extra che possono bloccare o esaminare pagamenti sospetti. In una transazione self-custody sulla blockchain, invece, di solito non c’è una parte centrale che possa annullare la transazione dopo. Per questo a volte un attaccante deve convincerti solo una volta a confermare l’azione sbagliata.

Web3 a volte rende tutto ancora più difficile. Le dApp legittime chiedono spesso di collegare un wallet, firmare un messaggio o dare un token approval. Una richiesta malevola può quindi sembrare qualcosa che vedi normalmente. Però collegare un wallet è diverso dal firmare un messaggio, e una signature è diversa da una token approval o dalla conferma di una transazione.

Anche dopo una prima perdita, le vittime restano un bersaglio. I cosiddetti recovery service, per esempio, possono promettere di recuperare crypto rubate e poi chiedere un pagamento anticipato. Anche questo può essere una nuova forma di truffa.

Come riconosci un attacco di social engineering?

Riconosci un attacco di social engineering soprattutto dalla combinazione di contatto inatteso, identità dichiarata, urgenza e richiesta di fare qualcosa. Quindi non guardare solo una frase, una foto profilo o un logo, ma l’intera richiesta.

Tratta sempre come sospetta una richiesta inattesa di inviare crypto, collegare un crypto wallet, scansionare un QR code, condividere una seed phrase o comunicare un codice di verifica. Lo stesso vale per promesse di rendimenti garantiti, soldi facili e veloci senza rischi, crypto gratis o un’opportunità di investimento esclusiva.

Nel Web3 fai attenzione anche al tipo di richiesta che il tuo crypto wallet ti mostra. Collegare un wallet, firmare un messaggio, inviare crypto e dare una token approval sono azioni diverse. Un approval può per esempio dare a uno smart contract il permesso di spostare certi token dal tuo wallet.

Controlla sempre una richiesta al di fuori del messaggio ricevuto. Quindi non aprire semplicemente il link allegato, ma vai tu stesso sull’app o sul sito ufficiale.

Quali segnali indicano un messaggio sospetto?

Un messaggio sospetto spesso mostra uno o più di questi segnali:

• Ricevi un contatto inatteso con una richiesta di denaro, crypto, dati, credenziali di accesso o una transazione.
• Viene fatta pressione con frasi come: "Il tuo account verrà chiuso ora" oppure "Agisci entro dieci minuti".
• Ti viene chiesto di inviare crypto a un presunto wallet sicuro.
• Ti viene chiesto di scansionare un QR code per pagare o mettere in sicurezza il tuo account.
• Il link o il nome del dominio differisce in modo sottile dalla grafia ufficiale.
• Devi installare software, aprire un allegato o eseguire codice.
• Il tuo crypto wallet mostra un indirizzo di contratto sconosciuto, una richiesta di firma poco chiara o un allowance insolitamente alto o illimitato.
• Una richiesta di airdrop gratuito arriva dal nulla.

Errori di ortografia o grammatica possono essere un indizio, ma non sono un test affidabile. Molti attaccanti usano ormai testi convincenti e siti dall’aspetto professionale.

Come controlli l’identità di un contatto?

Controlla l’identità tramite un canale che hai cercato tu stesso, mai tramite un link, un QR code o un numero di telefono presenti nel messaggio sospetto.

Puoi procedere così, passo dopo passo:

1. Smetti di rispondere. Non andare avanti e non condividere codici o dati. Così eviti di confermare qualcosa sotto pressione.

2. Cerca tu stesso il canale ufficiale. Apri l’app che usi già oppure digita tu stesso l’indirizzo web ufficiale. Poi contatta l’assistenza tramite il canale ufficiale.

3. Controlla il dominio completo. Un nome di marca noto in un messaggio dice poco. Guarda l’intero indirizzo web, perché gli attaccanti usano spesso domini molto simili a quello vero.

4. Richiama tu una persona conosciuta. Ricevi una richiesta urgente da un amico o da un collega? Allora richiama tu un numero salvato che conoscevi già, invece di rispondere solo nella stessa chat.

5. Non condividere mai dati segreti come verifica. Un vero operatore dell’assistenza non ha bisogno della tua seed phrase, private key o password per controllare la tua identità. Fai molta attenzione anche con i codici di verifica.

Un badge verificato sui social media o un avviso di sicurezza in un crypto wallet possono essere utili, ma non garantiscono che una persona o qualcosa sia sicuro.

Come puoi proteggerti dal social engineering nel crypto?

Ti proteggi meglio controllando sempre chi ti contatta e cosa ti viene chiesto di fare, ogni volta che arriva una richiesta inattesa. Fai di questo un’abitudine fissa prima di inviare crypto, collegare un wallet, firmare qualcosa o confermare una token approval.

Accedi a crypto exchange, crypto wallet e dApp tramite un indirizzo ufficiale salvato o verificato da te. Non usare automaticamente annunci, DM o link inattesi come punto di accesso.

Per ogni transazione controlla la rete, l’indirizzo di destinazione, l’importo e il tipo di azione che stai eseguendo. In una token approval controlla anche a quale parte stai dando il permesso e quanti token può usare. Limita gli allowance quando possibile e controlla regolarmente le vecchie approval. Scollegare solo una dApp non revoca automaticamente un approval già esistente.

Usa inoltre password uniche e forti per i tuoi account e proteggi soprattutto l’e-mail collegata al tuo account dell’exchange. Dove possibile, attiva l’autenticazione multifattore per e-mail, account dell’exchange e altri account importanti.

La MFA rende più difficile il takeover di un account se una password viene rubata. Una passkey o una chiave di sicurezza FIDO, dove disponibili, sono più resistenti al phishing rispetto a un codice di verifica inserito manualmente. Ma anche una forte protezione dell’account non impedisce che tu condivida una seed phrase o firmi una transazione blockchain dannosa.

Perché devi tenere segrete seed phrase e private key?

Devi tenere segrete la tua seed phrase e la tua private key perché possono dare accesso alle crypto nel tuo wallet. Una seed phrase è spesso composta da 12 a 24 parole e può essere usata per ripristinare l’accesso a un wallet. Con quelle parole o con la tua private key, qualcuno può gestire il tuo wallet e inviare crypto.

Di solito ti serve una seed phrase solo quando crei o ripristini il tuo wallet. Non perché te lo chiede un operatore dell’assistenza, non per un giveaway e nemmeno per "validare" un wallet.

Per questo non condividere mai questi dati via chat, e-mail, screenshot, note nel cloud o moduli online. Conservali offline e in un posto a cui gli altri non possono accedere.

Un hardware wallet conserva le tue private key offline e di solito richiede una conferma fisica prima di eseguire una transazione. Questo offre una protezione extra contro alcune forme di malware e takeover dell’account. Però un hardware wallet non può impedirti di approvare tu stesso una transazione dannosa.

Come usi la verifica delle transazioni e l’autenticazione multifattore?

Usa la verifica delle transazioni leggendo ogni richiesta del wallet prima di premere conferma. Controlla la rete, l’indirizzo di destinazione, l’importo e soprattutto il tipo di azione che stai facendo: collegare, firmare, inviare o dare una token approval.

Con una token approval dai a una dApp o a uno smart contract il permesso di spostare un certo token fino a un certo limite per conto del tuo wallet. Un allowance illimitato può aumentare i danni se hai dato questo permesso a una parte dannosa o compromessa. Per questo, quando possibile, scegli un limite adatto a quello che vuoi davvero fare.

Gli avvisi del wallet e la simulazione delle transazioni possono segnalare domini, indirizzi o dati di transazione sospetti. Considerali come un ulteriore livello di controllo. Una transazione tecnicamente valida può comunque essere dannosa se non corrisponde a quello che volevi fare.

Attiva la MFA per la tua e-mail e per l’account del crypto exchange. L’autenticazione a due fattori, o 2FA, è una forma di MFA in cui si usano due fattori di autenticazione diversi. Un passaggio di verifica in più aiuta contro il takeover dell’account, ma i codici one-time inseriti manualmente possono comunque essere intercettati tramite phishing. Per questo, quando possibile, scegli un metodo resistente al phishing come una passkey o una chiave di sicurezza FIDO.

Cosa puoi fare dopo un attacco di social engineering?

Smetti subito di rispondere all’attaccante e agisci il prima possibile tramite canali sicuri che hai verificato tu stesso. Non usare link, numeri di telefono o offerte di recupero presenti nei messaggi dell’attaccante.

Procedi passo dopo passo:

1. Interrompi il contatto: non rispondere più, non cliccare su nulla e non dare altre informazioni.

2. Metti in sicurezza i tuoi account: cambia le password compromesse, proteggi il tuo account e-mail e sostituisci o rafforza la tua MFA se necessario.

3. Contatta la parte coinvolta: rivolgiti al crypto exchange, al fornitore del wallet o ad altri provider di account tramite un canale ufficiale che hai cercato tu stesso.

4. Controlla le token approval: hai confermato una richiesta sospetta del wallet? Allora verifica se puoi revocare gli allowance esistenti. Scollegare una dApp non basta per rimuovere una token approval già esistente.

5. Conserva le prove: fai screenshot e annota messaggi, domini, numeri di telefono, profili, indirizzi wallet, importi, data, ora e transaction hash.

6. Segnala la frode e fai denuncia: gli indirizzi wallet e i dati delle transazioni possono essere prove importanti, anche se il furto è già avvenuto.

Dopo, fai ancora più attenzione alle recovery scam. Qualcuno che promette di recuperare le tue crypto perse e chiede un pagamento anticipato potrebbe provare a truffarti di nuovo. Revocare un approval può limitare un uso futuro di quel permesso, ma non annulla una transazione blockchain già eseguita.

Conclusione

Il social engineering nel crypto, alla fine, ruota attorno a una cosa sola: qualcuno cerca di farti compiere un’azione che normalmente non faresti. Può essere condividere una seed phrase, inviare crypto, comunicare un codice o confermare una richiesta del wallet che non capisci bene.

La difesa migliore non è solo la sicurezza tecnica, ma anche controllare prima di agire. Verifica i contatti tramite un canale indipendente, usa una forte protezione dell’account e leggi ogni richiesta di transazione prima di confermare.

Soprattutto per seed phrase, private key e token approval vale questo: se non capisci quale accesso o permesso stai dando, non confermare la richiesta.