Phishing della seed phrase: meccanica, segnali e come difendersi
Richieste di seed phrase, password o codici monouso «dall'assistenza» o tramite link in e-mail/memo delle transazioni. Qui analizziamo passo per passo come agiscono i truffatori, i segnali per fermarsi in tempo e cosa fare se hai già effettuato un versamento o firmato un permesso.
Come funziona lo schema: Phishing della seed phrase
27/10/2026Definizione delle autorità di vigilanza: Richieste di seed phrase, password o codici monouso «dall'assistenza» o tramite link in e-mail/memo delle transazioni.
Fasi tipiche del meccanismo
- Email, SMS o finestra pop-up urgente. L'utente riceve un messaggio che simula Ledger, Trezor, MetaMask o Trust Wallet: «Aggiornamento obbligatorio del firmware», «Verifica KYC del wallet» o «Transazione bloccata».
- Reindirizzamento a una pagina clone. Il link apre una pagina web identica all'interfaccia del wallet che segnala un «errore di sincronizzazione» o di «convalida del portafoglio».
- Inserimento delle 12 o 24 parole. Il modulo web chiede di digitare la frase segreta di recupero (seed phrase) per ripristinare l'accesso o annullare una transazione non autorizzata.
- Accesso istantaneo da parte dell'attaccante. Non appena le parole vengono inviate, uno script importa il wallet sui server dei truffatori e trasferisce tutti i fondi su tutte le reti.
Fonte: ic3.gov · Fonte: consob.it · Fonte: commissariatodips.it · verificato 27/10/2026
Segnali d'allarme immediati
- Qualsiasi sito web, modulo online, estensione o operatore che chieda di digitare le 12 o 24 parole della frase di recupero.
- Email da presunti produttori di wallet non-custodial che minacciano il «blocco del conto» se non completi una verifica (un wallet non-custodial non ha un conto bloccabile).
- App di wallet hardware (es. finte copie di Ledger Live o Trezor Suite) che chiedono la seed phrase sul computer anziché sul display fisico del dispositivo.
Checklist di difesa e prevenzione
interattivaVerifiche completate0/4Se anche un solo controllo fallisce, interrompi subito ogni versamento o firma sul wallet.
Seed phrase e sicurezza
- Non comunicare a nessuno la seed phrase o la chiave privata: né all'«assistenza» né a un sito. ethereum.org
- Non rispondere a richieste di password/seed phrase/OTP se non siete stati voi ad avviare il contatto. ic3.gov
- Non fotografare la seed phrase (sincronizzazione cloud). ethereum.org
- Proteggere dispositivi e chiavi; perdere la chiave = perdere gli asset. esma.europa.eu
- Non concedere approvals illimitate; revocarle periodicamente (Revoke.cash, Etherscan Token Approvals). ethereum.org
- Controllare l'indirizzo del destinatario per intero, senza copiarlo dalla cronologia delle transazioni (address poisoning). revoke.cash
- In caso di «problema all'account», riagganciare e chiamare il numero ufficiale dell'exchange. ic3.gov
- Prima della denuncia, raccogliere hash delle transazioni, indirizzi, importi, date, corrispondenza, domini. ic3.gov
Cosa fare se sei caduto in questa truffa
- Interrompi ogni pagamento o firma: non versare mai «tasse di sblocco», «cauzioni antiriciclaggio» o «commissioni di verifica».
- Metti in sicurezza wallet e conti: se hai firmato un permesso su un wallet, apri subito Revoke.cash o gli scanner di permessi e revoca le approvazioni; se hai condiviso la seed phrase, sposta i fondi residui su un nuovo wallet generato da zero.
- Conserva tutte le prove: TXID su blockchain, indirizzi di destinazione, URL dei domini, chat esportate e contabili dei bonifici.
- Sporgi denuncia alla Polizia Postale e segnala a Consob: segui la procedura passo per passo. Diffida sempre di chi promette il recupero fondi a pagamento.
Nota fiscale (Agenzia delle Entrate): lo smarrimento o la sottrazione fraudolenta di cripto-attività o chiavi private non genera una minusvalenza deducibile nel Quadro RT.
Gli altri schemi dell'enciclopedia truffe crypto
11 schede- Truffa romantica / pig butcheringIngegneria sociale e falsa piattaforma
- Truffe nei gruppi WhatsApp/TelegramGruppi di segnali e pump-and-dump
- Piattaforme e app falseSiti clone e app contraffatte
- Rendimenti garantiti / schema PonziSchemi Ponzi e cloud mining fittizio
- Memecoin / pump and dump / rug pullManipolazione liquidità e token malevoli
- Airdrop falsi / drainerFirme malevole e svuotamento wallet
- Falso supporto dell’exchangeFinto servizio clienti e accesso remoto
- Falsi Consob / personaggi famosiDeepfake, false celebrità e finte autorità
- Truffa del recupero (recovery scam)Seconda truffa sulle vittime di frode
- Address poisoningIndirizzi «gemelli» nella cronologia transazioni
- DeFi platform exploitsVulnerabilità smart contract, bridge e oracoli
Domande frequenti
Come riconosco subito lo schema «Phishing della seed phrase»?
Qualsiasi sito web, modulo online, estensione o operatore che chieda di digitare le 12 o 24 parole della frase di recupero. Email da presunti produttori di wallet non-custodial che minacciano il «blocco del conto» se non completi una verifica (un wallet non-custodial non ha un conto bloccabile).
Posso dedurre le somme perse in questa truffa come minusvalenza nel Quadro RT?
No: secondo l'Agenzia delle Entrate la sottrazione fraudolenta o lo smarrimento di cripto-attività o chiavi private non costituisce una cessione a titolo oneroso e non genera minusvalenze deducibili.