Sicurezza

Sicurezza crypto

Verifica, non fidarti. È il modo di Polkadot ed è il modo di $WUD. Troppa gente perde i risparmi per colpa delle truffe in questo mondo, e quasi ogni perdita segue gli stessi pochi schemi. Ecco tutto quello che avremmo voluto sapere dal primo giorno. Vale per ogni sito, app e persona nel mondo crypto, noi compresi.

Aggiornato il 1 ottobre 2026

L'unica regola che conta davvero

La frase di recupero (detta anche seed phrase o frase segreta) è la chiave principale del tuo wallet. Chiunque ce l'abbia può prendersi tutto, da qualsiasi posto e in qualsiasi momento, e nessuno può annullarlo.

Non scriverla mai in un sito, un modulo, una chat o una email. Va solo nella tua app wallet, oppure scritta su carta e tenuta offline.
Non darla mai a nessuno. Né al supporto, né a un team, né a un'azienda di wallet, né a un amico, né a chi ti offre un airdrop o un aiuto.
Se qualcuno te la chiede, sta cercando di derubarti. Nessuna eccezione. I team veri, i wallet veri e il supporto vero non ne hanno mai bisogno.

Collegare, firmare e approvare

Un sito può chiedere al tuo wallet tre cose molto diverse. Saperle distinguere è gran parte della sicurezza.

Richiesta	Cosa fa	Cosa controllare
Collegare	Condivide il tuo indirizzo pubblico così il sito può mostrarti i saldi. Non può spostare niente.	Di essere sull'indirizzo vero del sito che volevi aprire.
Firmare un messaggio	Dimostra che l'indirizzo è tuo, per esempio per fare login. Sui wallet Polkadot è gratis e non può spostare fondi.	Che il testo abbia senso. Sui wallet Ethereum fai attenzione a tutto ciò che si chiama permit, perché può autorizzare spese.
Approvare una transazione	Fa davvero qualcosa: invia, scambia, compra, brucia o cambia un'impostazione. È questa che può spostare i tuoi fondi.	Cosa viene inviato, quanto e dove. Se non corrisponde a quello che hai cliccato, rifiuta.
Approvare una spesa (Ethereum)	Permette a un contratto di prendere i tuoi token in futuro, spesso senza limite. È il trucco preferito dei wallet drainer.	Solo per app di cui ti fidi, solo per l'importo che serve. Rimuovi quelle vecchie su revoke.cash.

Rifiutare una richiesta è sempre gratis e sempre sicuro. Nel dubbio rifiuta e chiedi in un canale ufficiale della community.

Come funzionano i wallet drainer

Un drainer non può forzare il tuo wallet. Deve convincerti ad aprirgli la porta tu. Le strade più comuni:

Siti clone con una lettera cambiata o un dominio diverso, trovati tramite pubblicità, risultati di ricerca o link nelle risposte.
Finti airdrop e giveaway che ti chiedono di collegarti e fare "claim", poi ti propongono una transazione che manda via i tuoi token.
Finto supporto che ti scrive per primo dopo che hai fatto una domanda in pubblico, poi ti chiede di "verificare", "sincronizzare" o "validare" il wallet.
App ed estensioni false copiate dai wallet veri, caricate negli store o spinte con la pubblicità.
Account e siti hackerati, quando il profilo social o il sito di un progetto vero viene preso da altri e inizia a pubblicare una trappola.

Finiscono tutte allo stesso modo: approvi qualcosa senza leggerlo, o scrivi la frase di recupero dove non deve stare. Leggi ogni richiesta e tieni la frase offline, e quasi tutte falliscono.

Controlla i link con VirusTotal

Prima di aprire un link che non ti aspettavi, o di collegarti a un sito per la prima volta, puoi controllarlo gratis su virustotal.com. Chiede a decine di aziende di sicurezza se sanno che l'indirizzo è pericoloso.

Copia il link. Non aprirlo ancora.
Vai su virustotal.com, scegli URL, incolla il link e avvia la ricerca.
Guarda il risultato. Anche un solo segnale rosso vuol dire non aprirlo. Se il risultato è vecchio, clicca Reanalyze per un controllo nuovo.

Ecco come appare un report vero, per questo sito: gavunwud.com su VirusTotal. Clicca Reanalyze e hai un risultato aggiornato da ogni fornitore, quando vuoi.

Un risultato pulito aiuta, ma non è una garanzia. I siti truffa nuovi di zecca spesso risultano puliti per le prime ore o i primi giorni. Usalo come uno dei tanti controlli, e fallo diventare un'abitudine per ogni sito a cui colleghi un wallet.

La tua checklist prima di approvare qualsiasi cosa

L'indirizzo è esattamente quello giusto? Per i siti che usi col wallet usa un segnalibro, non i link da messaggi o pubblicità.
Hai avviato tu questa azione? Se compare una richiesta che non ti aspettavi, rifiutala.
Il wallet mostra quello che volevi fare? Stesso token, stesso importo, stessa destinazione.
Qualcuno ti mette fretta? "Mancano solo 10 minuti" e "il tuo wallet verrà bloccato" sono tattiche di pressione. I progetti veri ti lasciano il tempo che ti serve.
Qualcuno ti chiede la frase di recupero? Fermati. È una truffa, sempre.

Parti nel modo giusto

Usa due wallet. Uno per le spese, con poco saldo, per siti, giochi e app nuove, e uno per i risparmi che non si collega mai da nessuna parte.
Valuta un hardware wallet. Un Ledger tiene le chiavi sul dispositivo e mostra ogni transazione sul suo schermo, così un sito malevolo non può firmare niente senza che tu lo veda. Puoi usarlo su Polkadot tramite Talisman, SubWallet, Nova Wallet o Polkadot.js.
Scarica i wallet solo dai siti ufficiali o dagli store. Prima di installare controlla il nome dello sviluppatore.
Proteggi email e account sugli exchange con un'app di autenticazione o una chiave di sicurezza, non con gli SMS.

Se qualcosa va storto

Se la tua frase di recupero è stata esposta: crea subito un wallet nuovo con una frase nuova e spostaci tutto quello che è rimasto. Del vecchio wallet non potrai più fidarti.
Se hai approvato una spesa su Ethereum: rimuovi l'autorizzazione su revoke.cash il prima possibile.
Attenzione ai servizi di "recupero". Chi promette di riportarti le crypto rubate a pagamento sta quasi sempre facendo una seconda truffa.
Avvisa la community. Segnalare in fretta un link truffa o un account falso protegge il prossimo.

Come funziona gavunwud.com

Ci applichiamo le stesse regole. gavunwud.com non ti chiede mai la frase di recupero o le chiavi, e non ti chiede mai un permesso illimitato per spendere i tuoi token. Le firme dei messaggi servono solo a dimostrare che un indirizzo è tuo. Le transazioni partono solo quando scegli tu un'azione, e il wallet te le mostra una per una prima che tu approvi. Anche così, non fidarti sulla parola: verifica. I dettagli sono nei nostri termini.

I nostri link ufficiali sono gavunwud.com, x.com/gavunwud, t.me/gavunwud e il nostro Discord. Se qualcosa dice di essere noi e non è in questa lista, consideralo falso.

Scegli un wallet sicuro

Domande frequenti

È sicuro collegare il mio wallet a un sito?

Collegarti condivide solo il tuo indirizzo pubblico, quindi da solo non può spostare i tuoi fondi. Il rischio arriva dopo, se approvi una transazione o un permesso di spesa senza leggerlo. Collegati solo a siti di cui ti fidi, controlla l'indirizzo e leggi ogni richiesta prima di approvarla.

Qualcuno può rubarmi le crypto conoscendo solo il mio indirizzo?

No. Il tuo indirizzo è pubblico per natura, come un IBAN. Per spostare i tuoi fondi serve la frase di recupero o la chiave privata, oppure che sia tu ad approvare una transazione.

Cosa faccio se ho condiviso la mia frase di recupero?

Agisci subito. Crea un wallet nuovo con una frase di recupero nuova e spostaci tutto quello che è rimasto. Considera il vecchio wallet compromesso per sempre, e non pagare nessuno che si offre di recuperare i fondi rubati.

Un risultato pulito su VirusTotal vuol dire che il sito è sicuro?

Vuol dire che nessuna delle aziende di sicurezza che interroga ha ancora segnalato l'indirizzo. È utile, ma i siti truffa nuovi all'inizio possono sembrare puliti. Abbinalo al controllo dell'indirizzo, alla lettura di ogni richiesta del wallet e a non condividere mai la frase di recupero.