Truffa Honeypot Crypto. Come evitarla?

Nel mondo in rapida espansione delle criptovalute, il fascino dei profitti rapidi può talvolta accecare anche gli investitori più cauti ai rischi che si nascondono sotto. Tra le varie minacce, le truffe sulle criptovalute honeypot sono emerse come una tattica particolarmente ingannevole utilizzata dai truffatori per rubare asset e informazioni sensibili da utenti ignari. Queste truffe spesso coinvolgono falsi wallet, token o smart contract che sembrano legittimi ma sono in realtà trappole progettate per sfruttare la fiducia e l'avidità delle loro vittime. Capire come funzionano queste truffe e imparare come evitarle è fondamentale per chiunque si muova nel panorama delle criptovalute.

Cos'è una truffa Honeypot Crypto?

Una truffa crypto honeypot è una tattica ingannevole nel mondo delle criptovalute in cui i truffatori attirano individui ignari in una trappola progettata per rubare i loro beni o informazioni sensibili. La truffa in genere comporta la creazione di un portafoglio di criptovaluta fraudolento, token o smart contract che sembra autentico ma è, in realtà, una trappola attentamente elaborata.

I truffatori spesso usano piattaforme di social media come X (ex Twitter), Discord o Reddit per raggiungere potenziali vittime. Si atteggiano a utenti inesperti che hanno bisogno di aiuto per trasferire o riscuotere quello che sostengono essere un pagamento in criptovaluta significativo. In cambio di assistenza, offrono ricompense generose, il che rende l'offerta allettante.

Per creare fiducia, il truffatore fornisce alla vittima le chiavi private di un portafoglio di criptovaluta che sembra contenere una quantità sostanziale di token. Questi token sono solitamente in criptovalute meno note che, nonostante sembrino preziose, non possono essere utilizzate per coprire le commissioni di transazione. Alla vittima viene quindi chiesto di depositare una piccola quantità di criptovaluta per coprire queste commissioni, spesso con il pretesto di aiutare un "trader in difficoltà".

Una volta che la vittima trasferisce le proprie criptovalute per coprire le commissioni, i fondi vengono automaticamente reindirizzati a un portafoglio inaccessibile controllato dal truffatore. Ciò viene ottenuto tramite script automatizzati noti come "sweeper bot". Sebbene gli importi rubati in ogni caso possano essere esigui, i truffatori ripetono questo processo più volte, portando a significativi guadagni cumulativi.

Il fascino delle truffe honeypot risiede nella loro capacità di apparire legittime e allettanti, facendo leva sull'avidità o sulla buona volontà delle potenziali vittime. Il sito web, il portafoglio o lo smart contract falsi, l'"honeypot", sono progettati per ingannare gli utenti facendogli credere di interagire con una piattaforma affidabile, ma in realtà sono una trappola attentamente predisposta.

Come funzionano gli Honeypot

Le truffe Honeypot nel mondo delle criptovalute sono operazioni meticolosamente pianificate che ingannano gli utenti inducendoli a separarsi dai loro beni. Queste truffe si svolgono generalmente in una serie di passaggi calcolati, ciascuno progettato per sfruttare la fiducia e l'avidità della vittima.

Impostazione e creazione

Il processo inizia con il truffatore che decide il tipo di honeypot da distribuire. Potrebbe essere qualsiasi cosa, da uno smart contract con un'apparente vulnerabilità a un sito web falso che imita un popolare exchange di criptovalute. La chiave qui è far sembrare l'honeypot legittimo, sia progettando un sito web che replica perfettamente una piattaforma ben nota, sia distribuendo uno smart contract che sembra avere un difetto che consente agli utenti di estrarre token.

Ad esempio, in un tipico honeypot di smart contract, il contratto sembra contenere un bug che consentirebbe a chiunque di prelevare token da esso. Tuttavia, per sfruttare questo "difetto", l'utente deve prima depositare una certa quantità di criptovaluta nel contratto.

Promozione e adescamento delle vittime

Una volta impostato l'honeypot, il passo successivo è attrarre le vittime. I truffatori spesso usano piattaforme di social media come X, Discord o Reddit per raggiungere potenziali obiettivi. Possono anche utilizzare l'ottimizzazione dei motori di ricerca, annunci a pagamento e campagne sui social media per indirizzare il traffico verso le loro piattaforme fraudolente. In alcuni casi, i truffatori possono spacciarsi per utenti alle prime armi che hanno bisogno di aiuto per prelevare o trasferire una quantità sostanziale di criptovaluta, promettendo alla vittima una parte dei fondi in cambio di assistenza.

Per ottenere la fiducia della vittima, il truffatore potrebbe persino fornire l'accesso a quello che sembra un portafoglio di criptovaluta pieno di token preziosi. Tuttavia, questi token sono in genere in criptovalute meno note che non possono essere utilizzate per coprire le commissioni di transazione, costringendo la vittima a depositare fondi aggiuntivi in una criptovaluta più ampiamente accettata.

Sfruttamento e furto

Dopo che la vittima trasferisce la criptovaluta richiesta, tenta di sfruttare la presunta vulnerabilità nello smart contract o di completare la transazione sulla piattaforma falsa. Tuttavia, è qui che entra in gioco il secondo livello della truffa. La vittima scopre di non essere in grado di prelevare né il deposito iniziale né alcun token del contratto a causa di un difetto nascosto.

La truffa si conclude quando l'attaccante, utilizzando script automatizzati o 'sweeper bot', trasferisce rapidamente il deposito della vittima e qualsiasi altro fondo nel contratto o nel portafoglio a un indirizzo inaccessibile, rubando di fatto i beni. La piattaforma o il contratto fraudolento vengono quindi rapidamente rimossi per evitare di essere rilevati.

Esempio reale

Un incidente degno di nota si è verificato il 26 febbraio 2024, quando Dechat ha pubblicato per errore un link a uno smart contract honeypot sulle proprie piattaforme di social media. Sebbene l'errore sia stato rapidamente corretto, alcuni utenti che hanno interagito con il link hanno subito perdite finanziarie prima che il problema venisse risolto.

Tipi di Honeypot

Siti web falsi

I truffatori spesso progettano siti Web falsi e sofisticati che imitano veri exchange di criptovalute, portafogli o piattaforme di investimento. Questi siti sono creati per sembrare quasi identici ai servizi legittimi, utilizzando nomi, loghi e design Web simili per ingannare gli utenti. Le vittime sono incoraggiate a creare account, collegare i loro dati bancari e depositare fondi, tutto ciò che i truffatori possono poi rubare. Con l'ascesa delle piattaforme di finanza decentralizzata (DeFi), i truffatori prendono sempre più di mira gli utenti creando falsi protocolli DeFi che promettono alti rendimenti, solo per scomparire con i fondi.

Email di phishing

I truffatori inviano e-mail di phishing che sembrano provenire da note società o servizi di criptovaluta, come exchange o provider di wallet. Queste e-mail spesso presentano loghi e contenuti dall'aspetto ufficiale per sembrare legittime. Possono affermare che c'è un problema con l'account del destinatario e chiedergli di fornire i dettagli di accesso per risolverlo. In altri casi, le e-mail indirizzano gli utenti a depositare fondi in un indirizzo di wallet falso controllato dal truffatore. Una volta che la vittima inserisce le proprie credenziali o trasferisce fondi, il truffatore ottiene il controllo sui propri asset. Di recente, c'è stato un aumento dei tentativi di phishing che prendono di mira gli utenti di piattaforme blockchain emergenti, dove i truffatori sfruttano la mancanza di consapevolezza tra i nuovi utenti.

Truffe sui social media

I truffatori usano le piattaforme dei social media per promuovere false opportunità di investimento, spesso sfruttando falsi endorsement di celebrità, annunci a pagamento o account di impostori. In alcuni casi, possono persino hackerare l'account di una figura pubblica per dare credibilità alla truffa. Ad esempio, i truffatori potrebbero creare un falso profilo di una celebrità che promuove una ICO (Initial Coin Offering) di criptovaluta. Gli utenti, allettati dalla promessa di alti rendimenti, vengono ingannati e indotti a inviare depositi in criptovaluta, che i truffatori poi rubano. Di recente, c'è stata un'ondata di truffe che coinvolgono falsi giveaway di NFT (Non-Fungible Token) su piattaforme come X (ex Twitter) e Instagram.

Monete manipolate

Le monete Honeypot sono un'altra tattica in cui i truffatori creano token con contratti intelligenti apparentemente redditizi. Gli investitori sono attratti dalla promessa di rendimenti astronomici, solo per scoprire di non essere in grado di ritirare i propri fondi a causa di regole contrattuali nascoste. Una volta che i truffatori hanno raccolto abbastanza investimenti, eseguono un "rug pull", prosciugando il contratto e lasciando gli investitori con token senza valore. Man mano che i progetti DeFi continuano a crescere, aumenta anche la complessità di queste truffe, con gli aggressori che sfruttano spesso le scappatoie nei contratti intelligenti per intrappolare gli investitori incauti.

Attacchi malware

Gli attacchi malware sono un metodo comune utilizzato dai truffatori per infiltrarsi nel dispositivo di una vittima. In genere, il malware viene scaricato tramite link di phishing o allegati e-mail e quindi eseguito in background all'insaputa dell'utente. Questo software dannoso può rubare chiavi private del portafoglio, password e altri dati sensibili, consentendo all'aggressore di sottrarre criptovaluta. Mentre il software antivirus a volte può rilevare e rimuovere il malware, molti attacchi sono altamente sofisticati, rendendoli difficili da identificare fino a quando non è troppo tardi. Di recente, c'è stato un aumento del malware che prende di mira i portafogli mobili e le applicazioni decentralizzate (dApp), poiché sempre più utenti gestiscono i propri asset crittografici tramite smartphone.

Airdrop falsi

Nei falsi schemi di airdrop, i truffatori attirano gli utenti con la promessa di criptovaluta gratuita. Istruiscono il destinatario a fornire l'indirizzo del proprio portafoglio o, più pericolosamente, la propria chiave privata per ricevere l'airdrop. Tuttavia, questo dà al truffatore accesso al portafoglio dell'utente, consentendogli di rubare qualsiasi criptovaluta in esso archiviata. È importante notare che gli airdrop legittimi non richiedono mai dettagli sensibili del portafoglio. Con l'aumento della popolarità degli airdrop, specialmente negli spazi NFT e DeFi, gli utenti dovrebbero essere più cauti e verificare la legittimità dell'offerta prima di partecipare.

Come evitare gli honeypot

Per evitare le truffe honeypot sono necessarie vigilanza e pratiche attente. Ecco alcune strategie chiave per aiutarti a rimanere al sicuro:

Ricerca prima di investire

Prima di impegnare fondi o fornire informazioni personali, esegui una ricerca approfondita sulla piattaforma o sull'opportunità. Cerca recensioni da fonti affidabili, controlla i reclami e conferma che la piattaforma sia legalmente registrata e conforme alle normative pertinenti. Nel mondo in rapida evoluzione della finanza decentralizzata (DeFi), è anche importante rivedere il whitepaper del progetto ed esaminare il team che lo supporta per garantirne la legittimità.

Controllare la validità del certificato

Verifica sempre il certificato SSL dei siti web che visiti, in particolare quando riguardano transazioni finanziarie. I siti fraudolenti spesso utilizzano certificati non validi o autofirmati, il che può essere un campanello d'allarme. Strumenti come i verificatori SSL possono aiutarti a determinare se il certificato di un sito è autentico. Inoltre, assicurati che l'URL inizi con "https" e non con "http", poiché ciò indica una connessione sicura.

Monitorare la liquidità

Fai attenzione ai token o alle monete che non hanno sufficiente liquidità o sono difficili da incassare. Gli asset illiquidi possono essere un segno di un honeypot, in cui il truffatore blocca i fondi, rendendo impossibile per gli investitori vendere o ritirare i propri investimenti. Controllare il volume di trading del token e la sua presenza su exchange consolidati può fornire informazioni sulla sua liquidità.

Non fidarti delle sponsorizzazioni delle celebrità

Le sponsorizzazioni di celebrità, specialmente nel settore delle criptovalute, sono spesso inventate per promuovere monete o progetti truffaldini. Verifica sempre l'autenticità delle sponsorizzazioni prima di prendere qualsiasi decisione di investimento. È anche importante notare che anche gli account legittimi di celebrità possono essere hackerati temporaneamente, con i truffatori che li usano per ingannare i follower e convincerli a investire in schemi fraudolenti. Sii scettico su qualsiasi promozione di alto profilo e verifica con fonti affidabili.

Disattivare le autorizzazioni automatiche

Quando colleghi applicazioni o servizi al tuo portafoglio di criptovalute, è più sicuro abilitare manualmente le autorizzazioni piuttosto che consentire l'accesso automatico a tutte le funzionalità. I truffatori spesso sfruttano le autorizzazioni automatiche per ottenere un controllo non autorizzato sui tuoi asset. Rivedi e revoca regolarmente le autorizzazioni non necessarie per ridurre al minimo il rischio di accesso non autorizzato.

Utilizzare la conservazione a freddo

Per proteggere i tuoi averi in criptovaluta, conserva la maggior parte dei tuoi asset in cold storage, ovvero portafogli offline che non sono connessi a Internet. Ciò riduce significativamente il rischio che i tuoi fondi vengano compromessi in caso di truffa o attacco informatico. Conserva solo una piccola quantità di criptovaluta nei portafogli online per le transazioni giornaliere.

Abilita l'autenticazione a due fattori (2FA)

Aggiungere l'autenticazione a due fattori (2FA) ai tuoi account e wallet fornisce un ulteriore livello di sicurezza. Anche se la tua password è compromessa, 2FA rende più difficile per gli aggressori accedere ai tuoi asset. Utilizza app 2FA come Google Authenticator o token hardware per una maggiore protezione ed evita 2FA basate su SMS, che possono essere vulnerabili ad attacchi di SIM-swapping.

Conclusione

Mentre il settore delle criptovalute continua a crescere, crescono anche i metodi utilizzati dai truffatori per sfruttare gli utenti ignari. Le truffe Honeypot, con i loro intricati inganni e le trappole attentamente congegnate, sono un potente promemoria dell'importanza della vigilanza e della due diligence. Restando informati, conducendo ricerche approfondite e impiegando solide pratiche di sicurezza, come l'uso di cold storage e l'abilitazione dell'autenticazione a due fattori, gli investitori possono proteggersi dal cadere vittime di questi schemi dannosi. Nel mondo delle risorse digitali, scetticismo e cautela sono fondamentali per salvaguardare i tuoi investimenti e le tue informazioni personali

Ti ricordiamo che Plisio ti offre anche:

Crea fatture crittografiche in 2 clic and Accetta donazioni in criptovalute

12 integrazioni

6 librerie per i linguaggi di programmazione più diffusi

19 criptovalute e 12 blockchain