Abbiamo trovato 70 siti web che si spacciano per progetti di criptovalute legittimi e che invitano i visitatori a votare sulla data di una prossima distribuzione di ricompense.
Le pagine copiano fedelmente l'aspetto dei siti reali e, nella maggior parte dei casi, l'offerta è modesta e credibile: esprimi il tuo voto e, in quanto votante attivo, riceverai un bonus di 1,25x al momento dell'erogazione dei premi.
Tuttavia, il voto è falso e cliccando sul pulsante "Vota ora" si apre una richiesta di connessione al portafoglio. È il primo passo verso richieste che potrebbero indurre i visitatori ad autorizzare l'accesso ai propri token.
Tra i marchi imitati figurano xStocks di Kraken, Pendle, Zama, Kinetiq, Yield Basis, Firelight e piattaforme minori come Umia, Keeta e NetNet. Nessuna di queste pagine è affiliata ai progetti che imitano.
Copie di marchi noti
Ogni sito è una copia fedele del progetto a cui si ispira, fin nei minimi dettagli, dal logo ai menu, fino ai colori. La copia di Firelight riporta persino un annuncio autentico sul limite massimo di deposito del protocollo, il che suggerisce che le pagine siano state copiate dai siti web ufficiali anziché ricostruite da zero.
La maggior parte utilizza la stessa formulazione riguardo al voto sulla data di assegnazione dei premi per ottenere un bonus, sebbene alcune presentino delle variazioni. Il testo di Pendle aggiunge date fittizie e un conto alla rovescia per creare un senso di urgenza, quello di Keeta promette punti invece di un bonus, mentre quello di NetNet omette il voto e avverte che i token non reclamati verranno bruciati dopo 48 ore.
Perché questi marchi
La scelta dei bersagli non sembra essere casuale. Diversi progetti imitati hanno effettuato un lancio di token, un airdrop o una vendita pubblica di token nell'ultimo anno. Altri gestiscono programmi a punti o premi. Le loro community sono abituate a sentir parlare di premi, richieste e assegnazioni, e sono pronte ad agire di conseguenza.
Zama ha condotto un'asta pubblica di token a gennaio e il suo token ha iniziato a essere scambiato a febbraio. Kinetiq ha lanciato il suo token di governance insieme a un airdrop per i primi utenti a novembre 2025. L'asta di token di Umia si è svolta dal 29 agosto al 2 settembre, solo poche settimane fa. Firelight premia con punti i primi depositanti e Pendle è stato lanciato su Robinhood Chain il 4 settembre.
Un messaggio relativo a ricompense provenienti da uno di questi progetti non sembrerebbe strano a chi lo segue. L'esca sembra studiata per attirare coloro che già possiedono il token o hanno utilizzato il protocollo, perché sono proprio loro che potrebbero aspettarsi una distribuzione e desiderare una quota maggiore.
Cosa succede quando fai clic su "vota"?
Il pulsante "Vota" non conduce a una votazione. Apre una finestra di Connect Wallet che rimane invariata indipendentemente dal marchio che la pagina imita. Vengono elencati WalletConnect, MetaMask, Trust Wallet, OKX Wallet, Binance Wallet, Bitget Wallet e Rabby, insieme a un'opzione per visualizzare oltre 28 altri wallet.
Questa finestra assomiglia alle richieste di connessione che gli utenti vedono sui siti di criptovalute legittimi, il che potrebbe far sembrare la richiesta di routine.
Collegare un portafoglio in modo indipendente ne condivide l'indirizzo, consentendo al sito di verificarne il contenuto. A questo punto, tuttavia, non autorizza il sito a spendere i tuoi token.
Il danno deriva in genere da ciò che il sito richiede successivamente. Nelle truffe di svuotamento del portafoglio, una pagina potrebbe, dopo la connessione, richiedere di firmare un messaggio o approvare una transazione, presentandosi come conferma dell'azione che il visitatore intendeva compiere. Un'approvazione o una firma fraudolenta possono autorizzare l'attaccante a prelevare i token dal portafoglio senza ulteriori conferme.
Le transazioni blockchain in genere non possono essere annullate, quindi è molto difficile recuperare i fondi rubati.
Segni di un singolo intervento chirurgico
Diversi dettagli suggeriscono un'operazione congiunta o un kit di phishing. Tutti i domini elencati alla fine di questo articolo seguono lo stesso schema: sitemu seguito da una serie di caratteri apparentemente casuali, sul .xyz dominio di primo livello.
Gli stessi modelli vengono riutilizzati per diversi marchi, con il testo che appare quasi parola per parola sia che la pagina sia presentata come Zama, Firelight o Yield Basis, fino ad arrivare a scrivere il bonus come 1,25x , con una virgola al posto della virgola. Anche la finestra di connessione al portafoglio dietro il pulsante Vota è identica per tutti i marchi.
I nomi di dominio casuali risparmiano all'operatore la fatica di trovare un indirizzo simile e convincente per ogni marchio, e la perdita di un singolo sito comporta costi minimi. Inoltre, rendono la barra degli indirizzi uno degli elementi più evidenti e riconoscibili di queste pagine.
Come proteggere il tuo portafoglio
Prima di collegare il tuo portafoglio, verifica le dichiarazioni relative alla distribuzione di voti o ricompense attraverso i canali ufficiali del progetto. Un logo riconoscibile è facile da copiare.
- Controlla l'indirizzo, non il design. Queste pagine sono copie fedeli di quelle originali, quindi il solo marchio non basta a garantirne l'autenticità. Se il dominio non è quello utilizzato ufficialmente dal progetto, chiudi la scheda.
- Visita direttamente il progetto. Se un voto o un premio sono autentici, li troverai sul sito ufficiale del progetto o annunciati sui suoi profili social. Usa un segnalibro o digita l'indirizzo manualmente, invece di seguire un link in un messaggio, un annuncio o una risposta.
- Leggete attentamente ciò che il vostro wallet vi chiede di firmare. Il voto non dovrebbe richiedere l'approvazione della spesa dei vostri token. Se una richiesta di firma o di transazione menziona approvazioni, permessi o trasferimenti, rifiutatela. I wallet che mostrano un'anteprima dell'esito di una transazione possono essere utili, ma non approvate una richiesta che non riuscite a comprendere.
- Fai attenzione a potenziamenti, bonus e scadenze. Le promesse di ricompense extra e gli avvertimenti che i token non reclamati verranno bruciati possono spingerti ad agire prima di aver controllato.
- Conserva la maggior parte dei tuoi fondi in un portafoglio separato. Utilizza un portafoglio con un saldo ridotto per i siti che non conosci e tieni i tuoi investimenti a lungo termine in un portafoglio che non usi per quei siti.
- Se ti sei già connesso, disconnettiti dal sito. Se hai anche firmato un messaggio o approvato una transazione, utilizza la funzione di gestione delle approvazioni del tuo portafoglio o un verificatore di approvazioni di token affidabile per esaminare e revocare le autorizzazioni sospette. La sola disconnessione non revoca le approvazioni dei token. Se sospetti che la tua frase di recupero o la tua chiave privata siano state compromesse, trasferisci i fondi rimanenti in un nuovo portafoglio creato con una nuova frase di recupero.
In che modo Malwarebytes
Malwarebytes Browser Guard è in grado di bloccare i siti di phishing e truffa noti prima che tu possa interagire con essi. Questo è utile in campagne come questa, in cui la pagina falsa è molto simile a quella reale.
Se ricevi un link a una votazione per premi, a una pagina di richiesta o a un airdrop e hai dei dubbi, Malwarebytes Scam Guard può aiutarti a valutare il link prima di collegare il tuo portafoglio. Verifica l'offerta anche attraverso i canali ufficiali del progetto.
Indicatori di compromissione
sitemufl06qs0r4o[.]xyzsitemui6m6bbj1bd[.]xyzsitemui8go6g99bb[.]xyzsitemuicitd4jrtr[.]xyzsitemuidkr38kji0[.]xyzsitemuidlij5urd0[.]xyzsitemuif3pa5k4eh[.]xyzsitemuife3h91vjj[.]xyzsitemuioeefbyh3i[.]xyzsitemuioi7005ekb[.]xyzsitemuizkhpdbjnv[.]xyzsitemuj1xencnin8[.]xyzsitemuj7lzbasipw[.]xyzsitemujbcz1nas1x[.]xyzsitemujdi54aitrf[.]xyzsitemujejvp4tp0x[.]xyzsitemujffobdhxgj[.]xyzsitemuji07m137aw[.]xyzsitemujoqrmsm0et[.]xyzsitemujrfn7witew[.]xyzsitemujsm7brhwh0[.]xyzsitemujtcvh5q9fj[.]xyzsitemujtd8ingh2b[.]xyzsitemujtdkvy6c7n[.]xyzsitemujufht1ntj4[.]xyzsitemujufs1975v4[.]xyzsitemujug76lkyke[.]xyzsitemujumvtmjaf1[.]xyzsitemujuncdlpnng[.]xyzsitemujuno47vpud[.]xyzsitemujunzgjapds[.]xyzsitemujw19idqe01[.]xyzsitemujw1uspghl1[.]xyzsitemujwcvm5ufu8[.]xyzsitemujxjlv2lmhh[.]xyzsitemuk3jcm1olr8[.]xyzsitemuk3jpe1eph7[.]xyzsitemuk3z1hh2tvn[.]xyzsitemuk3zjrr2ufy[.]xyzsitemuk3zu5776gi[.]xyzsitemuk6zd201nsw[.]xyzsitemuk7f31386dx[.]xyzsitemuk7fi1dcrp4[.]xyzsitemuk7fvnvihra[.]xyzsitemuk7xbyszpzj[.]xyzsitemuk7y434m4om[.]xyzsitemuk7yi5eqn74[.]xyzsitemuk7ys6db9qj[.]xyzsitemuk9ayiwadjz[.]xyzsitemuk9c4oppeco[.]xyzsitemukh5awm67rj[.]xyzsitemukpy2hpmpwv[.]xyzsitemukrod1am6ez[.]xyzsitemukvxv7j5hmv[.]xyzsitemukvy7wudsqb[.]xyzsitemukww7ivnaji[.]xyzsitemukwxih8302f[.]xyzsitemul94tcv4l80[.]xyzsitemul95f18sowo[.]xyzsitemul95pxqgmm8[.]xyzsitemulaay8dbm66[.]xyzsitemulaucnbmnrd[.]xyzsitemulffos1qryn[.]xyzsitemuli8pd7qi9z[.]xyzsitemulpmt6if530[.]xyzsitemulpnff7964j[.]xyzsitemulpo7jkntfz[.]xyzsitemulr9d1dg77r[.]xyzsitemuls00qrsh0k[.]xyzsitemulszq4rm2yn[.]xyz
