Quali sono le statistiche sul phishing crypto per il 2026?

Quanto hanno sottratto le truffe crypto nel 2025?

Chainalysis ha contato almeno $14 billion ricevuti on-chain dalle truffe nel 2025 e prevede che il totale supererà $17 billion. La stima sale nel tempo perché gli analisti associano più wallet alle operazioni di truffa dopo il primo conteggio. La cifra rivista per il 2024 era di circa $12 billion.

Due dettagli contano per il dominio di un progetto. Le truffe di impersonificazione, in cui il criminale si spaccia per un marchio, una persona o un servizio noto, sono cresciute di circa il 1,400% su base annua, e l'importo medio sottratto per truffa di impersonificazione è aumentato di oltre il 600%. Il pagamento medio per truffa è passato da $782 nel 2024 a $2,764 nel 2025. Un sito simile a quello di un protocollo è per definizione un'impersonificazione.

L'Internet Crime Complaint Center dell'FBI ha riferito circa $11.37 billion di perdite per frodi legate alle crypto nel 2025, su 181,565 denunce, secondo la copertura del rapporto da parte di Decrypt. È un conteggio delle denunce presentate dalle vittime, per lo più negli Stati Uniti, quindi misura una cosa diversa dal conteggio on-chain di Chainalysis.

Quanto rubano i siti di phishing drainer di wallet?

ScamSniffer ha contato $83.85 million persi a causa di siti di phishing drainer di wallet nel 2025, con un calo dell'83% rispetto ai $494 million del 2024. Il numero delle vittime è sceso del 68%, da 332,000 a 106,106. Il rapporto riguarda solo i siti di phishing che svuotano wallet sulle catene EVM e descrive i suoi totali come un limite inferiore.

Il furto singolo più grande è stato di $6.5 million tramite una firma Permit a settembre. Le firme Permit e Permit2 hanno costituito il 38% delle perdite nei casi più grandi, e le firme batch EIP-7702 sono comparse dopo l'aggiornamento Pectra. Agosto è stato il mese peggiore con $12.17 million; dicembre il più basso con $2.04 million.

Un avvertimento sull'attribuzione: alcune testate hanno attribuito la cifra di $83.85 million a SlowMist. Proviene da ScamSniffer. Il rapporto 2025 di SlowMist riporta circa $2.935 billion di perdite in circa 200 incidenti, definisce il phishing uno dei vettori più attivi e non pubblica alcun totale sul phishing.

Quanti attacchi di phishing e domini esistono?

APWG ha registrato 1,069,681 attacchi di phishing nel secondo trimestre 2026, il 10.1% in più rispetto ai 971,181 del primo trimestre. Il solo giugno 2026 ha raggiunto 425,808, il mese più alto da aprile 2023. APWG ha contato 941 marchi unici attaccati nel trimestre, e il settore SaaS e webmail ha subito il 29.1% degli attacchi. Il testo del rapporto trimestrale non fornisce una quota per le crypto, quindi non ne citiamo alcuna.

Sul fronte dei domini, Interisle ha rilevato più di 1.5 million di domini di phishing tra maggio 2024 e aprile 2025, il 38% in più rispetto all'anno precedente, e il 77% era stato registrato da criminali, mentre gli altri erano compromessi o altrimenti acquisiti. Per estensione, i dati dell'anno successivo collocano .com al primo posto con 869,180 domini di phishing; la classifica completa è in quali estensioni di dominio sono più usate per il phishing.

Perché i rapporti riportano totali diversi?

I totali differiscono perché ogni editore conta una cosa diversa. ScamSniffer conta le perdite dovute ai drainer dei siti di phishing sulle catene EVM. Chainalysis conta i ricavi on-chain delle operazioni di truffa. CertiK conta gli incidenti di sicurezza, con il phishing come uno dei vari vettori: 248 incidenti di phishing e circa $723 million su circa $3.35 billion nel 2025, secondo un riepilogo stampa del suo rapporto Hack3d. L'FBI conta le denunce presentate dalle vittime.

Una lettura corretta usa ogni cifra per ciò che misura. Le perdite da drainer mostrano quanto esce dai wallet attraverso siti falsi. La crescita dell'impersonificazione mostra con che frequenza i criminali si spacciano per qualcun altro. APWG e Interisle mostrano quante pagine e quanti domini esistono per farlo. Nessuna di esse dice quanto abbia perso un singolo progetto, e nessuna sostituisce il vostro monitoraggio.

Abbiamo escluso i rapporti sulle perdite di Immunefi e qualsiasi quota delle crypto nei totali di APWG: non abbiamo potuto verificare una cifra.

Cosa significano queste cifre per i domini di un progetto?

Significano che l'attacco ai vostri utenti di solito parte da un dominio, e che i domini costano poco da registrare. Una pagina di phishing ha bisogno di un nome simile al vostro; il 77% dei domini di phishing studiati da Interisle è stato acquistato allo scopo. Il vostro nome sulle estensioni usate dai phisher costa all'anno meno di un singolo reclamo presso i centri di arbitrato: il set difensivo di base di .com, .net, .org, .io, .xyz e .app costa $128.94 all'anno presso Wardmint, e un reclamo WIPO per da uno a cinque domini costa USD 1,500.

La seconda metà della difesa è un piano di risposta. La guida su come segnalare un dominio di phishing elenca chi contattare, e la guida principale su come proteggere un progetto crypto dai domini di phishing mette in ordine registrazione, rafforzamento, monitoraggio e risposta.

Wardmint registra nomi; non monitora e non fa rimuovere siti.

Su quante fonti si basa questa pagina?

Secondo l'indice di Wardmint del 12 novembre 2026, questa pagina attinge a 7 editori (Chainalysis, ScamSniffer, CertiK, SlowMist, FBI IC3, APWG e Interisle). Cinque sono stati letti sulla pagina dell'editore; due, CertiK e FBI IC3, sono stati letti attraverso la stampa perché l'originale non si è potuto caricare. Ogni riga della tabella indica quale.

Un riepilogo citabile: il totale 2025 delle truffe crypto è una stima di Chainalysis di almeno $14 billion on-chain; la perdita 2025 da drainer di wallet è un conteggio di ScamSniffer di $83.85 million; e il volume di phishing 2026 è un conteggio di APWG di 1,069,681 attacchi in un trimestre.