E-mail truffa MetaMask: come riconoscerle e proteggere il Suo wallet

Apre la casella di posta e trova un’e-mail che sembra provenire da MetaMask. Il logo è quello giusto, l’impaginazione è pulita e il messaggio Le mette fretta: verificare il Suo wallet, evitare una sospensione o confermare la Sua frase segreta di recupero per un aggiornamento di sicurezza. Sembra vera perché è fatta apposta per sembrarlo. È un’e-mail di phishing, e la pagina a cui rimanda il pulsante è costruita per prendere il controllo del Suo wallet.

Forse ha letto che MetaMask non invia mai e-mail. È un’affermazione troppo generica. MetaMask può scriverLe a proposito di un ticket di assistenza che ha aperto, e invia newsletter e aggiornamenti sulla MetaMask Card a chi ha chiesto di riceverli. Quello che non fa mai è prendere l’iniziativa. Non invia e-mail non richieste, non Le chiede mai via e-mail la frase segreta di recupero, la password o i dati del Suo account Google o Apple, e non Le chiede mai di verificare, aggiornare o ripristinare il wallet. Qualsiasi e-mail che faccia una di queste cose è una truffa, per quanto autentica possa sembrare.

Perché le e-mail truffa MetaMask funzionano

MetaMask è un bersaglio ovvio. Si presenta come il wallet in autocustodia più usato, con oltre 100 milioni di download, quindi una falsa e-mail di MetaMask inviata a una lunga lista di indirizzi raggiunge molti utenti reali.

Molti di questi utenti conoscono meglio gli account sugli exchange che i wallet. Un exchange custodial conserva le criptovalute per conto Suo: per questo ha il Suo indirizzo e-mail, può congelare il Suo account e Le invia e-mail relative all’account. Un wallet in autocustodia, detto anche non-custodial, lascia le chiavi nelle Sue mani. I Suoi account esistono sulla blockchain, non presso MetaMask, quindi MetaMask non ha nulla da sospendere o verificare. I truffatori contano sul fatto che molti non conoscano questa differenza.

Queste e-mail fanno leva anche sulle emozioni. Una scadenza come «your wallet will be locked in 24 hours» (il Suo wallet verrà bloccato entro 24 ore) La spinge ad agire prima di riflettere. Un avviso di «suspicious activity», cioè di attività sospetta, fa sembrare il clic un gesto responsabile, e una richiesta di «update your security», ossia di aggiornare la Sua sicurezza, suona ragionevole anziché sospetta. Ognuno di questi espedienti Le impedisce di porsi la domanda che smonta la truffa: ho mai dato questo indirizzo e-mail a MetaMask, e per quale motivo?

Come sono fatte le e-mail truffa MetaMask

Le e-mail di phishing rivolte agli utenti di MetaMask riutilizzano una manciata di modelli, e il centro assistenza di MetaMask mette in guardia proprio da questi pretesti. Riconoscere il modello è la difesa migliore.

L’e-mail «verify your wallet»

Questa variante sostiene che, per continuare a usare MetaMask, Lei debba verificare il Suo wallet. Un pulsante come «Verify Now» o «Confirm Wallet» porta a un falso sito MetaMask che Le chiede la Sua frase segreta di recupero, cioè la sequenza di parole che fa da backup del Suo wallet. Nel momento in cui la inserisce, il truffatore controlla tutti gli account derivati da quella frase e può svuotarli uno per uno. MetaMask dichiara che non Le chiede mai di verificare il Suo account.

Una versione più recente Le chiede di eseguire un «upgrade» a uno smart account. MetaMask mostra effettivamente inviti a trasformare un account in smart account, ma solo all’interno dell’estensione o dell’app mobile. Un’e-mail o un sito web che La spinga a fare questo aggiornamento non è MetaMask.

L’e-mail «security alert»

Questa versione, presentata come un avviso di sicurezza, segnala che è stata rilevata un’attività non autorizzata sul Suo wallet, oppure che il wallet è limitato, bloccato o sospeso, e La esorta a metterlo al sicuro tramite un link. Il link porta a una pagina clonata di MetaMask che registra tutto ciò che digita. Se un’e-mail riporta dati reali di transazioni, questo non prova nulla: chiunque può leggere le transazioni di qualsiasi indirizzo su un block explorer pubblico.

L’e-mail «KYC requirement»

Questa sostiene che nuove normative obblighino MetaMask a verificare la Sua identità (KYC, acronimo di «know your customer», l’identificazione del cliente). Le viene chiesto di caricare documenti e di collegare il wallet su un sito esterno. MetaMask non ha una propria procedura KYC. Una verifica dell’identità può essere necessaria quando acquista criptovalute all’interno di MetaMask o fa domanda per la MetaMask Card. Queste verifiche fanno parte di quell’acquisto o di quella domanda e sono gestite dal fornitore coinvolto: controlli quindi se il messaggio riguarda un servizio che ha effettivamente richiesto. Nessuna verifica dell’identità, vera o falsa, è un motivo per rivelare la Sua frase di recupero o la Sua chiave privata.

L’e-mail «airdrop» o «reward»

Questa promette token gratuiti, un airdrop retroattivo o una ricompensa (reward) per gli utenti fedeli di MetaMask, a patto di collegare il wallet sul sito a cui porta il link. MetaMask non regala asset: niente token, NFT, airdrop né omaggi casuali. La pagina per riscuoterli Le chiede la frase di recupero oppure la firma di un’approvazione dei token, che autorizza il sito a prelevare i Suoi token, non a inviarLe alcunché. Questa approvazione resta registrata sulla blockchain, quindi continua a funzionare anche dopo che ha chiuso il sito, finché non la revoca.

La falsa risposta dell’assistenza

Alcune truffe prendono di mira chi ha davvero contattato MetaMask. MetaMask avverte che alcuni truffatori hanno avvicinato utenti con ticket aperti e hanno chiesto loro la frase segreta di recupero. Le vere e-mail relative a un ticket arrivano solo da support@metamask.io, riguardano solo una pratica che Lei ha aperto tramite la chat del centro assistenza e non Le chiedono mai la frase. L’assistenza di MetaMask non La contatta mai per prima, non ha un numero di telefono e non La raggiungerà tramite WhatsApp, Telegram, Instagram, SMS o messaggi diretti su X.

Come riconoscere una falsa e-mail di MetaMask

Se non ha aperto alcun ticket di assistenza, non ha creato un account sul forum MetaMask Community e non ha chiesto di ricevere e-mail da MetaMask, un’e-mail che afferma di provenire da MetaMask è falsa, per quanto professionale possa sembrare. In caso contrario, i controlli seguenti permettono di distinguere l’originale da una copia.

Confronti il mittente con gli indirizzi ufficiali di MetaMask

MetaMask elenca sei indirizzi da cui invia e-mail. Faccia clic sul nome del mittente o ci passi sopra con il mouse per vedere l’indirizzo completo, perché chiunque può impostare un nome visualizzato come «MetaMask Support».

Le e-mail di phishing di solito arrivano da indirizzi che imitano quelli autentici: un dominio che aggiunge al nome del marchio una parola come «support» o «security», un’estensione diversa come .team al posto di .io, oppure un dominio lungo che si limita a iniziare con metamask.io (metamask.io.example.net appartiene a example.net, non a MetaMask). Un indirizzo che corrisponde a uno di questi è un buon segno, ma da solo non dimostra che l’e-mail sia autentica. A decidere è ciò che il messaggio Le chiede di fare.

Controlli dove porta un link, ma non lo usi

Passi il mouse sopra un link prima di fare clic. La maggior parte dei client di posta mostra allora la destinazione reale in fondo alla finestra o in un riquadro a comparsa. Se punta altrove rispetto a metamask.io o a uno dei suoi sottodomini, come support.metamask.io, diffidi. Un link che sembra corretto può comunque trarre in inganno, perché alcune app di posta non mostrano la destinazione reale. Le vere e-mail di MetaMask possono contenere link, ad esempio per confermare un nuovo account Community, ma per gestire il wallet non ne ha mai bisogno.

Confermi quindi la richiesta attraverso un canale separato. Digiti support.metamask.io nel browser o usi un segnalibro, e confronti la richiesta con la Sua pratica di assistenza aperta o con il servizio che ha utilizzato. Se non corrisponde, o se ha dubbi, avvii una chat con il pulsante «Contact Support» nella home page del centro assistenza e chieda se l’e-mail sia autentica.

Diffidi delle pressioni e delle minacce irrealizzabili

I servizi legittimi raramente fissano scadenze di 24 ore o minacciano sospensioni via e-mail. Nel caso di MetaMask, poi, si tratta di una minaccia a vuoto: i Suoi account esistono su una blockchain pubblica, non sui server di MetaMask, e MetaMask dichiara che non possono essere eliminati né limitati. Qualsiasi pressione sui tempi che riguardi il Suo wallet è, di per sé, un segnale d’allarme.

MetaMask stesso è una truffa?

No. MetaMask è un wallet legittimo in autocustodia, in uso dal 2016. È sviluppato da Consensys Software Inc., che oggi opera con il nome commerciale MetaMask, e il codice sorgente dell’estensione per browser è pubblico su GitHub. Le truffe non vengono da MetaMask. Vengono da criminali che si spacciano per MetaMask per raggiungere i suoi utenti.

Questa distinzione conta soprattutto al momento dell’installazione. MetaMask esiste solo come estensione per browser e come app mobile, e l’azienda indica di scaricarlo esclusivamente tramite il pulsante di installazione su metamask.io/download o dallo store ufficiale del Suo browser o del Suo telefono. Una copia proveniente da qualsiasi altra fonte potrebbe essere costruita per rubare la frase che inserisce. E nessun wallet, per quanto ben fatto, può impedirLe di digitare la Sua frase di recupero su un sito falso.

Cosa fare se ha fatto clic su un link di phishing

Il passo successivo dipende da ciò che è successo dopo il clic. Aprire una pagina, approvare una transazione e digitare la Sua frase richiedono risposte diverse.

Ha solo letto l’e-mail o aperto la pagina

Questo, da solo, non espone le Sue chiavi. Il pericolo sta in ciò che digita o approva sulla pagina, spesso costruita per carpire la Sua frase segreta di recupero. Se non ha inserito né approvato nulla, molto probabilmente il Suo wallet non corre rischi. Chiuda la pagina. Se ha scaricato un file, non lo apra ed esegua una scansione antimalware del computer. Annoti che cosa è successo e quando, e tenga d’occhio l’attività dei Suoi account nei giorni successivi.

Ha collegato il wallet o approvato una transazione

Collegare un wallet non equivale ad autorizzare la spesa di token. Il collegamento consente a un sito di vedere il Suo indirizzo pubblico e i Suoi saldi e di proporLe transazioni da confermare. Un’approvazione dei token va oltre: consente a uno smart contract di trasferire un determinato token fuori dal Suo wallet, spesso in quantità illimitata, finché non la revoca. Un sito malevolo può usarla per sottrarre quei token senza mai conoscere la Sua frase.

Controlli che cosa ha firmato e quali approvazioni sono ancora attive. Scollegare un sito non revoca un’approvazione. La revoca è una transazione separata sulla blockchain che costa una commissione di rete (gas), e non può annullare trasferimenti già avvenuti. La guida di MetaMask alla revoca delle approvazioni dei token rimanda agli strumenti di controllo delle approvazioni dei block explorer come Etherscan e a servizi come Revoke.cash. Vi acceda tramite quella guida o digitando personalmente l’indirizzo, mai tramite un link «revoke» presente nel messaggio sospetto.

Ha già inserito la Sua frase di recupero su un sito sospetto

Consideri compromessi la frase e tutti gli account da essa controllati. Cambiare la password locale di MetaMask non servirà, perché chiunque possieda la frase può ripristinare il wallet sul proprio dispositivo. Una chiave privata che ha digitato espone allo stesso modo il relativo account. Non aggiunga fondi agli account interessati. I passaggi indicati da MetaMask per un wallet compromesso si riassumono così:

1. Installi MetaMask in un altro browser o in un altro profilo del browser, oppure su un secondo dispositivo mobile.
2. Crei lì un nuovo wallet con una nuova frase segreta di recupero. Se il vecchio wallet usava un account Google o Apple, non colleghi lo stesso account al nuovo wallet.
3. Annoti la nuova frase nell’ordine corretto e la conservi offline.
4. Trasferisca tutto ciò che resta nel vecchio wallet in quello nuovo.
5. Smetta di usare il vecchio wallet e tutti gli account legati alla frase compromessa.

La rapidità conta, ma uno script non si batte in velocità. Alcuni attaccanti usano bot sweeper che trasferiscono quasi istantaneamente fuori da un indirizzo compromesso i fondi in arrivo: se sospetta la presenza di uno di questi bot, non invii ETH al vecchio wallet per pagare il gas, perché il bot sottrarrebbe anche quelli. La guida di MetaMask sui bot sweeper tratta questo caso, e la nostra guida al recupero di un wallet MetaMask spiega cosa fare dopo una compromissione.

Ha digitato la Sua password o le Sue credenziali Google o Apple

Il rischio dipende da come ha configurato MetaMask. Se ha creato il wallet solo con una frase segreta di recupero, la password sblocca MetaMask sul Suo dispositivo e da sola non dà a nessuno accesso ai Suoi account. Cambi comunque la password. Se ha creato il wallet con un account Google o Apple, quell’account, insieme alla Sua password MetaMask, apre tutti i Suoi account. Se una pagina falsa li ha catturati entrambi, segua i passaggi per un wallet compromesso descritti sopra e metta al sicuro anche l’account Google o Apple.

Segnali l’e-mail ed eventuali furti

Segnali l’e-mail di phishing a MetaMask tramite la chat «Contact Support» del centro assistenza, indicando l’indirizzo del mittente e il link che conteneva, poi la contrassegni come phishing nella Sua app di posta e la elimini. Se ha perso fondi, la guida di MetaMask su come segnalare una truffa spiega come segnalare l’indirizzo del truffatore su Etherscan e a quali autorità per i reati informatici rivolgersi; negli Stati Uniti è l’IC3 dell’FBI. Descriva che cosa è stato divulgato, ma non includa mai la frase o la chiave vera e propria.

Crypto Recovers non accetta casi di criptovalute rubate o di truffe. Una transazione blockchain confermata non può essere annullata, e l’FBI avverte che chi sostiene di poter recuperare i Suoi fondi dopo una truffa potrebbe starne organizzando un’altra; la nostra guida per distinguere le aziende di recupero legittime da quelle false mostra come funzionano queste offerte. Crypto Recovers ripristina l’accesso dei legittimi proprietari che non riescono più ad aprire il proprio wallet, ad esempio dopo aver dimenticato la password di MetaMask, e non detiene né movimenta mai i fondi dei clienti. Se è il Suo caso, consulti la pagina sul recupero del wallet MetaMask.

Come proteggersi in futuro

La protezione più efficace è anche la più semplice: non inserisca mai la Sua frase di recupero online, che si tratti di un modulo in un’e-mail, di un sito web, di una chat o di una finestra pop-up. MetaMask indica solo due momenti legittimi per digitarla: quando crea un wallet e conferma di averla annotata, e quando ripristina il wallet o ne reimposta la password nell’estensione o nell’app ufficiale. In qualsiasi altro caso si tratta probabilmente di una truffa.

Il resto è questione di abitudini:

• Lasci che MetaMask si aggiorni tramite il browser o lo store delle app. Un vero aggiornamento non Le chiede mai di verificare o ripristinare il wallet tramite un’e-mail.
• Salvi metamask.io e support.metamask.io nei segnalibri e li apra da lì, anziché da risultati di ricerca, annunci o link. I truffatori acquistano annunci che compaiono sopra il risultato autentico, come mostra il nostro articolo sui segnali d’allarme delle truffe crypto.
• Conservi la Sua frase segreta di recupero offline, scritta su carta o incisa su metallo, in un luogo sicuro a cui solo Lei può accedere. MetaMask sconsiglia di conservare la frase nel cloud o in un password manager.
• Usi un hardware wallet per importi significativi. MetaMask lo consiglia per gli account di valore elevato, perché le chiavi restano offline e ogni transazione richiede il dispositivo fisico.
• Se ha configurato MetaMask con un account Google o Apple, assegni a quell’account una password univoca, diversa dalla Sua password MetaMask.
• Controlli regolarmente le Sue approvazioni dei token. MetaMask suggerisce di farne un’abitudine, ad esempio una volta al mese.
• Consideri una truffa qualsiasi messaggio non richiesto sulle Sue criptovalute, che arrivi via e-mail, messaggio diretto, telefonata o commento sui social, finché non lo ha verificato tramite i canali gestiti direttamente da MetaMask.

Documentazione ufficiale

• Questa e-mail proviene davvero da MetaMask?
• I canali di assistenza ufficiali di MetaMask
• Come revocare le autorizzazioni degli smart contract e le approvazioni dei token
• Account violato o truffa: transazioni non autorizzate sull’account

Domande frequenti sulle e-mail truffa MetaMask

MetaMask invia e-mail?

Sì, ma solo in poche situazioni e mai senza che Lei l’abbia richiesto. MetaMask Le scrive a proposito di un ticket di assistenza che ha aperto, dell’attività sul forum MetaMask Community se ne fa parte, e per inviarLe le newsletter o gli aggiornamenti sulla MetaMask Card che ha chiesto di ricevere. Non Le scrive mai per chiederLe la frase segreta di recupero, la password o i dati del Suo account Google o Apple, né per verificare il Suo wallet. Qualsiasi altra e-mail che dichiari di provenire da MetaMask è phishing.

Cosa devo fare se ricevo un’e-mail da MetaMask?

Non faccia clic sui link dell’e-mail, non apra gli allegati e non risponda. Confronti il mittente con gli indirizzi ufficiali di MetaMask. Se non ha aperto alcun ticket e non ha chiesto di ricevere alcuna comunicazione, contrassegni l’e-mail come phishing e la elimini. Se ha dubbi, digiti support.metamask.io nel browser e chieda tramite la chat «Contact Support».

I truffatori possono accedere al mio MetaMask senza la mia frase di recupero?

Senza la frase non possono impossessarsi dell’intero wallet, a meno che il wallet non sia stato configurato con Google o Apple e i truffatori dispongano di quell’account e della Sua password MetaMask. Una chiave privata che ha ceduto espone l’account a cui appartiene. Le approvazioni dei token sono l’eccezione da tenere d’occhio: un contratto malevolo che Lei approvi può trasferire i token approvati senza la Sua frase. Anche un malware può rubare una frase memorizzata sul Suo computer. Revochi le approvazioni che non riconosce e tenga la frase lontana dai dispositivi connessi a internet.

Ho dato la mia frase di recupero a un truffatore. Posso riavere i miei fondi?

MetaMask non può annullare una transazione confermata né restituire fondi rubati. Denunciare il furto può consentire alle autorità o all’exchange destinatario di intervenire, ma non garantisce la restituzione dei fondi. Nemmeno Crypto Recovers accetta casi di criptovalute rubate o di truffe. Trasferisca subito ciò che resta nel wallet in un nuovo wallet con una nuova frase, denunci il furto e diffidi di chiunque si offra di recuperare i fondi, soprattutto dietro pagamento anticipato.

MetaMask può bloccare o sospendere il mio wallet?

No. MetaMask è un wallet in autocustodia: i Suoi account esistono su blockchain pubbliche, e MetaMask dichiara che non possono essere eliminati né limitati. Un’e-mail che minaccia di bloccare, sospendere o chiudere il Suo wallet se Lei non interviene è una truffa.