Come Proteggere le Tue Crypto dal Social Engineering nel 2026

La maggior parte degli exploit crypto nel prossimo anno non sarà causata da un bug zero-day nel tuo protocollo preferito, affermano gli esperti di sicurezza crypto. Sarà causata da te. 

Questo perché il 2025 ha dimostrato che la maggior parte degli hack non inizia con codice dannoso; inizia con una conversazione, ha detto a Cointelegraph Nick Percoco, chief security officer del crypto exchange Kraken. 

Da gennaio all'inizio di dicembre 2025, i dati di Chainalysis mostrano che l'industria crypto ha subito oltre 3,4 miliardi di dollari di furti, con la compromissione di Bybit a febbraio che rappresenta quasi la metà di quel totale. 

Durante l'attacco, i malintenzionati hanno ottenuto l'accesso attraverso il social engineering, hanno iniettato un payload JavaScript dannoso che ha permesso loro di modificare i dettagli delle transazioni e sottrarre fondi.

Cos'è il social engineering? 

Il social engineering è un metodo di attacco informatico che manipola le persone inducendole a rivelare informazioni riservate o a eseguire azioni che compromettono la sicurezza. 

Percoco ha affermato che il campo di battaglia per la sicurezza crypto sarà nella mente, non nel cyberspazio. 

Consiglio 1: Utilizza l'automazione dove possibile 

Le compromissioni della supply chain si sono rivelate una sfida chiave quest'anno, secondo Percoco, poiché una violazione apparentemente minore può rivelarsi devastante in seguito, perché "è una torre digitale di Jenga, e l'integrità di ogni singolo blocco conta." 

Nel prossimo anno, Percoco raccomanda di ridurre i punti di fiducia umana attraverso azioni come l'automazione delle difese dove possibile e la verifica di ogni interazione digitale attraverso l'autenticazione in un "passaggio dalla difesa reattiva alla prevenzione proattiva."

"Nelle crypto in particolare, l'anello più debole rimane la fiducia umana, amplificata dall'avidità e dalla FOMO. Questa è la crepa che gli aggressori sfruttano ogni volta. Ma nessuna tecnologia sostituisce le buone abitudini," ha aggiunto.

Consiglio 2: Isola l'infrastruttura

Lisa, responsabile delle operazioni di sicurezza di SlowMist, ha affermato che i malintenzionati hanno sempre più preso di mira gli ecosistemi degli sviluppatori quest'anno, che, combinati con fughe di credenziali cloud, hanno creato opportunità per iniettare codice dannoso, rubare segreti e avvelenare gli aggiornamenti software. 

"Gli sviluppatori possono mitigare questi rischi bloccando le versioni delle dipendenze, verificando l'integrità dei pacchetti, isolando gli ambienti di build e rivedendo gli aggiornamenti prima della distribuzione," ha detto. 

Entrando nel 2026, Lisa prevede che le minacce più significative probabilmente deriveranno da operazioni sempre più sofisticate di furto di credenziali e social engineering. 

"Gli attori delle minacce stanno già sfruttando deepfake generati dall'IA, phishing personalizzato e persino falsi test di assunzione per sviluppatori per ottenere chiavi di wallet, credenziali cloud e token di firma. Questi attacchi stanno diventando più automatizzati e convincenti, e ci aspettiamo che questa tendenza continui," ha detto. 

Per rimanere al sicuro, il consiglio di Lisa per le organizzazioni è implementare un forte controllo degli accessi, rotazione delle chiavi, autenticazione supportata da hardware, segmentazione dell'infrastruttura e rilevamento e monitoraggio delle anomalie. 

Gli individui dovrebbero affidarsi agli hardware wallet, evitare di interagire con file non verificati, verificare in modo incrociato le identità attraverso canali indipendenti e trattare con cautela link o download non richiesti.

Consiglio 3: Proof of personhood per combattere i deepfake IA

Steven Walbroehl, co-fondatore e chief technology officer dell'azienda di cybersecurity blockchain Halborn, prevede che il social engineering potenziato dall'IA avrà un ruolo significativo nei manuali degli hacker crypto.

A marzo, almeno tre fondatori crypto hanno segnalato di aver sventato un tentativo di presunti hacker nordcoreani di rubare dati sensibili attraverso false chiamate Zoom che utilizzavano deepfake.

Walbroehl avverte che gli hacker stanno usando l'IA per creare attacchi altamente personalizzati e consapevoli del contesto che aggirano la formazione tradizionale sulla consapevolezza della sicurezza.

Per combattere questo, suggerisce di implementare una proof-of-personhood crittografica per tutte le comunicazioni critiche, autenticazione basata su hardware con binding biometrico, sistemi di rilevamento delle anomalie che stabiliscono una baseline dei modelli di transazione normali e stabilire protocolli di verifica utilizzando segreti o frasi pre-condivise. 

Consiglio 4: Tieni le tue crypto per te

Gli attacchi wrench, o attacchi fisici ai detentori di crypto, sono stati anche un tema prominente del 2025, con almeno 65 istanze registrate, secondo la lista GitHub di Bitcoin OG e cypherpunk Jameson Lopps. Il precedente picco del mercato rialzista nel 2021 era stato precedentemente l'anno peggiore registrato, con un totale di 36 attacchi registrati 

Un utente X con il nome Beau, un ex ufficiale della CIA, ha detto in un post su X del 2 dicembre che gli attacchi wrench sono ancora relativamente rari, ma raccomanda comunque agli utenti crypto di prendere precauzioni non parlando di ricchezza o divulgando possedimenti crypto o stili di vita stravaganti online come inizio. 

Suggerisce anche di diventare un "bersaglio difficile" utilizzando strumenti di pulizia dei dati per nascondere informazioni personali private, come gli indirizzi di casa, e investire in difese domestiche come telecamere di sicurezza e allarmi. 

Consiglio 5: Non lesinare sui consigli di sicurezza collaudati e veri 

David Schwed, un esperto di sicurezza che ha lavorato in Robinhood come chief information security officer, ha detto che il suo consiglio principale è attenersi a aziende rispettabili che dimostrano pratiche di sicurezza vigili, inclusi audit di sicurezza di terze parti rigorosi e regolari dell'intero stack, dai contratti intelligenti all'infrastruttura.

Tuttavia, indipendentemente dalla tecnologia, Schwed ha detto che gli utenti dovrebbero evitare di usare la stessa password per più account, scegliere di usare un hardware token come metodo di autenticazione a più fattori e proteggere la seed phrase crittografandola in modo sicuro o conservandola offline in una posizione fisica sicura.

Consiglia anche di utilizzare un hardware wallet dedicato per possedimenti significativi e minimizzare i possedimenti negli exchange.

Correlato: Lo spear phishing è la tattica principale degli hacker nordcoreani: come rimanere al sicuro

"La sicurezza dipende dal livello di interazione. Gli utenti devono rimanere estremamente vigili quando collegano un hardware wallet a una nuova applicazione web e devono validare accuratamente i dati della transazione visualizzati sullo schermo del dispositivo hardware prima di firmare. Questo previene la 'firma cieca' di contratti dannosi," ha aggiunto Schwed.

Lisa ha detto che i suoi migliori consigli sono usare solo software ufficiale, evitare l'interazione con URL non verificati e separare i fondi tra configurazioni hot, warm e cold. 

Per contrastare la crescente sofisticazione di truffe come il social engineering e il phishing, Percoco di Kraken raccomanda uno "scetticismo radicale" in ogni momento, verificando l'autenticità e presumendo che ogni messaggio sia un test di consapevolezza.

"E rimane una verità universale: nessuna azienda, servizio o opportunità legittima chiederà mai la tua seed phrase o le credenziali di accesso. Nel momento in cui lo fanno, stai parlando con un truffatore," ha aggiunto Percoco. 

Nel frattempo, Walbroehl raccomanda di generare chiavi utilizzando generatori di numeri casuali crittograficamente sicuri, una rigorosa separazione tra ambienti di sviluppo e produzione, audit di sicurezza regolari e pianificazione della risposta agli incidenti con esercitazioni regolari. 

Magazine: Quando le leggi sulla privacy e AML entrano in conflitto: la scelta impossibile dei progetti crypto