Risposta rapida
Cosa fare quando un sito di phishing impersona il vostro progetto?
Quando un sito di phishing impersona il vostro progetto, verificate prima se il vostro dominio continua a risolvere correttamente, poi avvisate gli utenti da canali verificati con il vostro indirizzo reale, segnalate il sito al suo registrar e al suo host in parallelo e ruotate ogni accesso che un attaccante potrebbe detenere. Chainalysis ha contato truffe di impersonificazione in crescita di circa il 1,400% nel 2025. Wardmint interviene entro 24 ore da una segnalazione ben documentata.
La prima ora, minuto per minuto
| Fascia | Azione | Proprietario |
|---|---|---|
| Da 0 a 10 minuti | Confermate il falso, controllate il vostro DNS, nominate un responsabile dell'incidente | Responsabile della sicurezza |
| Da 10 a 25 minuti | Pubblicate un avviso su ogni canale verificato con l'indirizzo reale; sospendete qualsiasi campagna di firma | Responsabile della community |
| Da 25 a 40 minuti | Inviate il pacchetto di prove a registrar e host; segnalate l'URL negli elenchi di avviso | Responsabile della sicurezza |
| Da 40 a 60 minuti | Controllate l'accesso all'account del registrar, ruotate password e 2FA, rivedete i record DNS | Responsabile operativo |
| Dopo la prima ora | Seguite le segnalazioni, aggiornate gli utenti, decidete su un reclamo UDRP | Responsabile dell'incidente |
La checklist della prima ora
Distinguete un dominio simile da un dirottamento
Eseguite il controllo DNS qui sotto. Un dominio simile è un dominio diverso; gli utenti che hanno digitato o cliccato male sono finiti lì. Un dirottamento significa che il vostro dominio ora punta altrove, e il caso è un'emergenza presso il vostro registrar.
Nominate un solo responsabile dell'incidente
Una persona è responsabile della cronologia, della cartella delle prove e di ogni messaggio in uscita. Gli altri eseguono; non agiscono di testa propria.
Avvisate gli utenti da canali di cui si fidano
Pubblicate l'indirizzo reale sul banner del vostro sito, sugli account social, sul server della community e sui canali di integrazione dei wallet. Dite chiaramente: non firmate mai una richiesta proveniente da un altro indirizzo. Scrivete l'indirizzo falso disinnescato, come example[.]com, così che nessuno lo clicchi.
Avviate le segnalazioni in parallelo
Prima registrar e host, poi Safe Browsing, Netcraft, Chainabuse e le blocklist dei wallet. La guida alle segnalazioni contiene i comandi RDAP.
Mettete in sicurezza i vostri accessi
Rivedete gli accessi all'account del registrar, al provider DNS e all'hosting. Ruotate le password, sostituite la 2FA via SMS con una chiave hardware e controllate i record DNS riga per riga. Vedete come proteggere il proprio account di registrar dal furto.
Aiutate gli utenti che hanno già firmato
Dite loro di spostare i fondi rimasti su un nuovo wallet, di rivedere e revocare le approvazioni dei token con un verificatore di approvazioni su block explorer e di inviarvi l'hash della transazione. Non promettete un rimborso nel primo messaggio.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackCome distinguere un sito simile da un dirottamento del proprio dominio?
Se il vostro dominio risolve ancora sui vostri server e i suoi name server sono i vostri, il falso si trova su un altro dominio. Il controllo richiede meno di un minuto con i comandi qui sopra. Un dominio simile significa che l'attaccante possiede un dominio diverso e conta sul fatto che gli utenti sbaglino a digitare, clicchino un annuncio o seguano un link.
Un dirottamento è diverso. Il 12 maggio 2025 il dominio di Curve Finance è stato reindirizzato a livello di registrar alle 20:55 UTC circa; il team l'ha scoperto alle 21:20 UTC e ha detto agli utenti di usare curve.finance come indirizzo provvisorio, affermando che contratti e dati degli utenti non erano stati toccati. La sera del 30 ottobre 2026, i domini di circa una dozzina di front end DeFi registrati con Name.com sono stati reindirizzati a un kit drainer, e The Block ha riferito che dieci domini sono stati sospesi alle 8:32 a.m. Eastern Time della mattina successiva. In un dirottamento, chiamate il vostro registrar prima di ogni altra cosa.
Cosa dovrebbe dire l'avviso agli utenti?
Un buon avviso indica l'indirizzo reale, dice cosa rifiutare e non indica nessuno come colpevole. Mantenetelo in quattro righe: cosa è successo, l'unico indirizzo ufficiale, l'istruzione di rifiutare qualsiasi richiesta di firma da un altro indirizzo e l'ora del prossimo aggiornamento.
Non linkate il sito falso. Non tirate a indovinare le perdite. L'avviso di Curve del maggio 2025 è un modello del genere: diceva cosa era stato reindirizzato, quale indirizzo usare e che i contratti erano intatti. Fissate l'avviso su ogni canale e modificatelo sul posto quando i fatti cambiano, indicando l'ora di ogni modifica. Il passo a più lungo termine è un set difensivo di varianti del vostro nome così che i falsi più ovvi non siano in vendita per un attaccante.
Cosa fare per le segnalazioni e le prove?
Inviate un unico pacchetto di prove a ogni destinatario nella stessa ora. Il pacchetto contiene l'URL, screenshot datati, la richiesta di firma, gli indirizzi dei wallet riceventi e l'output RDAP. L'ordine completo dei contatti è in come far rimuovere un sito di phishing che copia la vostra dApp.
Tenete un registro di ogni segnalazione con ora, destinatario e numero di riferimento. Un successivo reclamo UDRP, un reclamo a ICANN Compliance o una denuncia alla polizia partono da quel registro. Le perdite da drainer sono ingenti: ScamSniffer ha contato 106,106 vittime e USD 83.85 million di perdite da drainer di wallet sulle catene EVM nel 2025, quindi un registro pulito aiuta gli utenti che presentano le proprie segnalazioni.
Quanto cambia la prima ora con una buona preparazione?
Un runbook scritto fa risparmiare i minuti che non potete permettervi di perdere. Secondo l'indagine di Wardmint del 12 novembre 2026, il suo file di ricerca contiene quattro voci di dirottamento con fonte primaria dal luglio 2024: l'ondata di Squarespace (luglio 2024), Curve Finance (maggio 2025), un gruppo di cinque progetti (febbraio 2026) e i clienti di Name.com (ottobre 2026). Ogni fonte collega l'attacco al livello del dominio, del registrar o del DNS anziché agli smart contract, anche se la causa di ottobre 2026 è contesa tra Name.com e Vercel. Annotate prima di averne bisogno: chi è il titolare dell'accesso al registrar, dove sono conservate le chiavi 2FA, i record DNS che vi aspettate e il contatto per ogni canale.
Per il rafforzamento prima di un incidente, vedete come proteggere il proprio dominio dal dirottamento DNS. Assistenza presso Wardmint: risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso.
Domande sugli incidenti di impersonificazione
Devo mettere offline il mio sito reale durante un incidente?
Solo se il vostro dominio è dirottato o compromesso. Per un dominio simile su un altro dominio, mantenete il vostro sito attivo e rendete più visibile l'indirizzo reale.
Devo annunciare pubblicamente l'incidente?
Sì, una volta confermato. Gli utenti firmano la richiesta falsa nei minuti prima di venirne a conoscenza, quindi un breve avviso fattuale dai canali verificati fa più bene di un rapporto completo scritto più tardi.
Gli utenti possono riavere i loro fondi?
Non promettetelo. Dite agli utenti come proteggere i fondi rimasti e chiedete loro di condividere gli hash delle transazioni; il recupero dipende dalla catena, dal drainer e da eventuali azioni delle forze dell'ordine.
Quanto presto agirà il registrar sulla mia segnalazione?
Nessun termine vincola tutti i registrar. ICANN richiede ai registrar accreditati di agire tempestivamente in presenza di prove concrete di phishing dal 5 aprile 2024. Con Wardmint, l'azione arriva entro 24 ore da una segnalazione ben documentata.
In sintesi
- Controllate prima il vostro DNS: un dominio simile e un dirottamento richiedono chiamate diverse.
- Avvisate gli utenti da canali verificati con l'indirizzo reale e senza link attivo al falso.
- Inviate in parallelo le segnalazioni a registrar e host con un unico pacchetto di prove.
- Ruotate gli accessi a registrar, DNS e hosting e passate alla 2FA hardware.
- Chainalysis ha contato truffe di impersonificazione in crescita di circa il 1,400% nel 2025.
- ScamSniffer ha contato USD 83.85 million persi a causa di drainer di wallet sulle catene EVM nel 2025.
- Wardmint interviene entro 24 ore da una segnalazione ben documentata.
Fonti (7)
- Incidente del dominio di Curve — Curve Finance (letto il 2026-11-12)
- Hacker dirottano una dozzina di siti DeFi, tutti registrati con Name.com — The Block (letto il 2026-11-12)
- Truffe crypto 2026: rapporto Chainalysis — Chainalysis (letto il 2026-11-12)
- Rapporto ScamSniffer 2025: le perdite da phishing crypto calano dell'83% a $84 million — ScamSniffer (letto il 2026-11-12)
- Dirottamento del front end e superficie di attacco Web2 — Blockaid (letto il 2026-11-12)
- Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace — Krebs on Security (letto il 2026-11-12)
- 2024 Global Amendments to the Registrar Accreditation Agreement: DNS abuse — ICANN (letto il 2026-11-12)