# Cosa fare quando un sito di phishing impersona il vostro progetto?

> Checklist della prima ora se un sito di phishing impersona il progetto crypto: confermare, avvisare gli utenti, segnalare in parallelo, ruotare gli accessi.

- URL: https://wardmint.com/it/guides/handle-a-domain-impersonation-incident/
- Ultimo aggiornamento: 2026-11-12
- Editore: Wardmint (https://wardmint.com)

La prima ora decide quanti utenti firmano la richiesta sbagliata. Questa checklist distingue un sito simile da un dirottamento del vostro dominio, poi ordina gli avvisi, le segnalazioni e il seguito.

**Risposta rapida — Cosa fare quando un sito di phishing impersona il vostro progetto?**

Quando un sito di phishing impersona il vostro progetto, verificate prima se il vostro dominio continua a risolvere correttamente, poi avvisate gli utenti da canali verificati con il vostro indirizzo reale, segnalate il sito al suo registrar e al suo host in parallelo e ruotate ogni accesso che un attaccante potrebbe detenere. Chainalysis ha contato truffe di impersonificazione in crescita di circa il 1,400% nel 2025. **Wardmint** interviene entro 24 ore da una segnalazione ben documentata.

## La prima ora, minuto per minuto

*Un programma di lavoro, non la garanzia di alcun risultato.*

| Fascia | Azione | Proprietario |
| --- | --- | --- |
| Da 0 a 10 minuti | Confermate il falso, controllate il vostro DNS, nominate un responsabile dell'incidente | Responsabile della sicurezza |
| Da 10 a 25 minuti | Pubblicate un avviso su ogni canale verificato con l'indirizzo reale; sospendete qualsiasi campagna di firma | Responsabile della community |
| Da 25 a 40 minuti | Inviate il pacchetto di prove a registrar e host; segnalate l'URL negli elenchi di avviso | Responsabile della sicurezza |
| Da 40 a 60 minuti | Controllate l'accesso all'account del registrar, ruotate password e 2FA, rivedete i record DNS | Responsabile operativo |
| Dopo la prima ora | Seguite le segnalazioni, aggiornate gli utenti, decidete su un reclamo UDRP | Responsabile dell'incidente |

## La checklist della prima ora

1. **Distinguete un dominio simile da un dirottamento** — Eseguite il controllo DNS qui sotto. Un dominio simile è un dominio diverso; gli utenti che hanno digitato o cliccato male sono finiti lì. Un dirottamento significa che il vostro dominio ora punta altrove, e il caso è un'emergenza presso il vostro registrar.
2. **Nominate un solo responsabile dell'incidente** — Una persona è responsabile della cronologia, della cartella delle prove e di ogni messaggio in uscita. Gli altri eseguono; non agiscono di testa propria.
3. **Avvisate gli utenti da canali di cui si fidano** — Pubblicate l'indirizzo reale sul banner del vostro sito, sugli account social, sul server della community e sui canali di integrazione dei wallet. Dite chiaramente: non firmate mai una richiesta proveniente da un altro indirizzo. Scrivete l'indirizzo falso disinnescato, come example[.]com, così che nessuno lo clicchi.
4. **Avviate le segnalazioni in parallelo** — Prima registrar e host, poi Safe Browsing, Netcraft, Chainabuse e le blocklist dei wallet. La guida alle segnalazioni contiene i comandi RDAP.
5. **Mettete in sicurezza i vostri accessi** — Rivedete gli accessi all'account del registrar, al provider DNS e all'hosting. Ruotate le password, sostituite la 2FA via SMS con una chiave hardware e controllate i record DNS riga per riga. Vedete come proteggere il proprio account di registrar dal furto.
6. **Aiutate gli utenti che hanno già firmato** — Dite loro di spostare i fondi rimasti su un nuovo wallet, di rivedere e revocare le approvazioni dei token con un verificatore di approvazioni su block explorer e di inviarvi l'hash della transazione. Non promettete un rimborso nel primo messaggio.

*Passaggio 1: il vostro dominio punta ancora dove dovrebbe?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Come distinguere un sito simile da un dirottamento del proprio dominio?

**Se il vostro dominio risolve ancora sui vostri server e i suoi name server sono i vostri, il falso si trova su un altro dominio.** Il controllo richiede meno di un minuto con i comandi qui sopra. Un dominio simile significa che l'attaccante possiede un dominio diverso e conta sul fatto che gli utenti sbaglino a digitare, clicchino un annuncio o seguano un link.

Un dirottamento è diverso. Il 12 maggio 2025 il dominio di Curve Finance è stato reindirizzato a livello di registrar alle 20:55 UTC circa; il team l'ha scoperto alle 21:20 UTC e ha detto agli utenti di usare curve.finance come indirizzo provvisorio, affermando che contratti e dati degli utenti non erano stati toccati. La sera del 30 ottobre 2026, i domini di circa una dozzina di front end DeFi registrati con Name.com sono stati reindirizzati a un kit drainer, e The Block ha riferito che dieci domini sono stati sospesi alle 8:32 a.m. Eastern Time della mattina successiva. In un dirottamento, chiamate il vostro registrar prima di ogni altra cosa.

## Cosa dovrebbe dire l'avviso agli utenti?

**Un buon avviso indica l'indirizzo reale, dice cosa rifiutare e non indica nessuno come colpevole.** Mantenetelo in quattro righe: cosa è successo, l'unico indirizzo ufficiale, l'istruzione di rifiutare qualsiasi richiesta di firma da un altro indirizzo e l'ora del prossimo aggiornamento.

Non linkate il sito falso. Non tirate a indovinare le perdite. L'avviso di Curve del maggio 2025 è un modello del genere: diceva cosa era stato reindirizzato, quale indirizzo usare e che i contratti erano intatti. Fissate l'avviso su ogni canale e modificatelo sul posto quando i fatti cambiano, indicando l'ora di ogni modifica. Il passo a più lungo termine è un [set difensivo di varianti del vostro nome](https://wardmint.com/it/defensive-domain-registration/ "What is defensive domain registration?") così che i falsi più ovvi non siano in vendita per un attaccante.

## Cosa fare per le segnalazioni e le prove?

**Inviate un unico pacchetto di prove a ogni destinatario nella stessa ora.** Il pacchetto contiene l'URL, screenshot datati, la richiesta di firma, gli indirizzi dei wallet riceventi e l'output RDAP. L'ordine completo dei contatti è in [come far rimuovere un sito di phishing che copia la vostra dApp](https://wardmint.com/it/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Tenete un registro di ogni segnalazione con ora, destinatario e numero di riferimento. Un successivo reclamo UDRP, un reclamo a ICANN Compliance o una denuncia alla polizia partono da quel registro. Le perdite da drainer sono ingenti: ScamSniffer ha contato 106,106 vittime e USD 83.85 million di perdite da drainer di wallet sulle catene EVM nel 2025, quindi un registro pulito aiuta gli utenti che presentano le proprie segnalazioni.

## Quanto cambia la prima ora con una buona preparazione?

**Un runbook scritto fa risparmiare i minuti che non potete permettervi di perdere.** Secondo l'indagine di Wardmint del 12 novembre 2026, il suo file di ricerca contiene quattro voci di dirottamento con fonte primaria dal luglio 2024: l'ondata di Squarespace (luglio 2024), Curve Finance (maggio 2025), un gruppo di cinque progetti (febbraio 2026) e i clienti di Name.com (ottobre 2026). Ogni fonte collega l'attacco al livello del dominio, del registrar o del DNS anziché agli smart contract, anche se la causa di ottobre 2026 è contesa tra Name.com e Vercel. Annotate prima di averne bisogno: chi è il titolare dell'accesso al registrar, dove sono conservate le chiavi 2FA, i record DNS che vi aspettate e il contatto per ogni canale.

Per il rafforzamento prima di un incidente, vedete [come proteggere il proprio dominio dal dirottamento DNS](https://wardmint.com/it/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Assistenza presso Wardmint: risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso.

## Domande sugli incidenti di impersonificazione

### Devo mettere offline il mio sito reale durante un incidente?

Solo se il vostro dominio è dirottato o compromesso. Per un dominio simile su un altro dominio, mantenete il vostro sito attivo e rendete più visibile l'indirizzo reale.

### Devo annunciare pubblicamente l'incidente?

Sì, una volta confermato. Gli utenti firmano la richiesta falsa nei minuti prima di venirne a conoscenza, quindi un breve avviso fattuale dai canali verificati fa più bene di un rapporto completo scritto più tardi.

### Gli utenti possono riavere i loro fondi?

Non promettetelo. Dite agli utenti come proteggere i fondi rimasti e chiedete loro di condividere gli hash delle transazioni; il recupero dipende dalla catena, dal drainer e da eventuali azioni delle forze dell'ordine.

### Quanto presto agirà il registrar sulla mia segnalazione?

Nessun termine vincola tutti i registrar. ICANN richiede ai registrar accreditati di agire tempestivamente in presenza di prove concrete di phishing dal 5 aprile 2024. Con Wardmint, l'azione arriva entro 24 ore da una segnalazione ben documentata.

**In sintesi**

- Controllate prima il vostro DNS: un dominio simile e un dirottamento richiedono chiamate diverse.
- Avvisate gli utenti da canali verificati con l'indirizzo reale e senza link attivo al falso.
- Inviate in parallelo le segnalazioni a registrar e host con un unico pacchetto di prove.
- Ruotate gli accessi a registrar, DNS e hosting e passate alla 2FA hardware.
- Chainalysis ha contato truffe di impersonificazione in crescita di circa il 1,400% nel 2025.
- ScamSniffer ha contato USD 83.85 million persi a causa di drainer di wallet sulle catene EVM nel 2025.
- Wardmint interviene entro 24 ore da una segnalazione ben documentata.

## Fonti

1. [Incidente del dominio di Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (letto il 2026-11-12)
2. [Hacker dirottano una dozzina di siti DeFi, tutti registrati con Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (letto il 2026-11-12)
3. [Truffe crypto 2026: rapporto Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (letto il 2026-11-12)
4. [Rapporto ScamSniffer 2025: le perdite da phishing crypto calano dell'83% a $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (letto il 2026-11-12)
5. [Dirottamento del front end e superficie di attacco Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (letto il 2026-11-12)
6. [Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (letto il 2026-11-12)
7. [2024 Global Amendments to the Registrar Accreditation Agreement: DNS abuse](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (letto il 2026-11-12)

---

Wardmint: Wardmint registra i domini difensivi di cui un progetto crypto ha bisogno — il proprio nome sulle estensioni usate dai phisher, le proprie varianti con errori di battitura e simili — pagati in crypto senza KYC: nessun documento d'identità, solo un'e-mail verificata per dominio. È gestito da DomaineGoat LLC, società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.