Gli ultimi trucchi dei social media crypto: come evitare di essere truffati

L’ascesa dei social media ha rivoluzionato la comunicazione e il business, ma ha anche attirato hacker e truffatori, soprattutto con l’integrazione delle social cryptocurrencies. Nessuna piattaforma, da Twitter a Discord, è stata al sicuro dai cybercriminali che sfruttano le vulnerabilità degli utenti. Negli ultimi anni si è registrato un aumento degli attacchi ai social media legati alle crypto, inclusi attacchi di phishing, finti giveaway, truffe di impersonificazione e malware. Questi spesso usano l’ingegneria sociale per ingannare gli utenti e convincerli a rivelare informazioni sensibili o a inviare denaro ai criminali, con conseguenti perdite finanziarie, furto d’identità e danni reputazionali. 

Questo testo esplora i recenti hack sui social media legati alle crypto, smaschera le tattiche dei cybercriminali e offre consigli per proteggerti da queste truffe.

Situazione attuale: casi di studio

Diversi account social di alto profilo sono stati hackerati nelle prime settimane del 2024. 

U.S. Securities and Exchange Commission (SEC)

All’inizio di gennaio 2024, l’account X della SEC (ex Twitter) è stato compromesso in un attacco ben organizzato. Poco prima della decisione ufficiale su un Bitcoin ETF, gli hacker hanno ottenuto accesso non autorizzato all’account social della SEC e hanno pubblicato un falso annuncio secondo cui l’ETF era stato approvato. Questa falsa notizia si è diffusa rapidamente e ha causato una notevole volatilità del mercato, portando al trading di criptovalute per milioni di dollari sulla base di notizie false. Come si è poi saputo, l’attacco è stato possibile perché la SEC non aveva abilitato l’autenticazione a più fattori (MFA) sul proprio account. 

Mandiant

Anche Mandiant, una società di cybersecurity acquisita da Google nel 2022, è caduta vittima di un hack sui social media nel gennaio 2024. L’account X dell’azienda, che non aveva l’MFA abilitata, è stato violato tramite un attacco brute-force di indovinamento password. Una volta dentro, gli hacker hanno condiviso un link a una pagina truffa che sembrava legittima ma era progettata per rubare criptovalute. Come risultato, sono stati rubati migliaia di dollari in criptovalute sulla blockchain di Solana. 

CoinGecko

La piattaforma crypto CoinGecko ha subito una sofisticata violazione del suo account X nel gennaio 2024. Nonostante l’MFA fosse abilitata, l’account è stato compromesso quando un dipendente ha cliccato inavvertitamente su un link fraudolento di Calendly, che faceva parte di un attacco di phishing mirato. L’attaccante ha poi usato l’account compromesso per pubblicare un falso airdrop di token, inducendo molti utenti a credere di poter ricevere token gratuiti. Di conseguenza, molti utenti hanno fornito le informazioni della loro private key e alla fine hanno perso l’accesso ai propri crypto wallet. Questo dimostra semplicemente quanto l’ingegneria sociale sofisticata possa aggirare protezioni tecniche come l’MFA sfruttando le vulnerabilità umane. Questo esempio sottolinea anche l’importanza di formare i dipendenti a riconoscere ed evitare i tentativi di phishing.

CertiK

CertiK, una società di sicurezza blockchain nota per la revisione di smart contract, ha subito una violazione degna di nota nel gennaio 2024. Gli aggressori hanno compromesso l’account X di CertiK e hanno pubblicato un link a un falso sito Revoke. Questo sito contraffatto era progettato per sembrare uno strumento legittimo per revocare le autorizzazioni concesse alle dApp, ma in realtà veniva usato per svuotare il valore dei crypto wallet delle vittime. L’attacco, che ha coinvolto un’ingegneria sociale sofisticata, ha esposto vulnerabilità persino nelle aziende dedicate alla sicurezza blockchain. 

Tattiche comuni usate dai truffatori

I truffatori usano un’ampia gamma di tattiche per ingannare gli utenti e ottenere accesso alle loro criptovalute. Comprendere queste tattiche è essenziale per proteggere te stesso e i tuoi asset. Ecco alcuni dei metodi più comuni usati dai cybercriminali nel mondo crypto.

Attacchi di phishing

Il phishing è una delle tattiche più diffuse usate dai truffatori. Consiste nell’invio di messaggi fraudolenti, spesso via email o social media, che sembrano provenire da una fonte fidata. L’obiettivo è convincere il destinatario a fornire informazioni sensibili, come private key, password o codici di autenticazione a due fattori.

• Come funziona: I truffatori creano un sito web o un messaggio falso che imita uno legittimo. Gli utenti vengono attirati a inserire i propri dati di accesso o altre informazioni sensibili, che poi i truffatori usano per accedere ai loro account.
• Esempio reale Il 5 maggio 2024, il server Discord di Gnus.AI è stato preso di mira in un sofisticato attacco di phishing. Gli hacker hanno ottenuto accesso alle credenziali amministrative del server e le hanno usate per distribuire link malevoli che imitavano siti legittimi per il minting di token crypto. Questo exploit ha portato al furto di circa 1,27 milioni di dollari. Gli aggressori hanno sfruttato le funzionalità degli smart contract di Ethereum per creare token falsi, poi venduti a utenti ignari.

Ingegneria sociale

L’ingegneria sociale consiste nel manipolare le persone affinché compiano azioni o rivelino informazioni riservate. I truffatori spesso sfruttano la psicologia umana, facendo leva su sentimenti come la fiducia o la paura.

• Come funziona: Gli aggressori si fingono supporto tecnico, colleghi o altre figure fidate per guadagnare la fiducia del bersaglio. Una volta instaurata la fiducia, chiedono informazioni sensibili o inducono la vittima a compiere azioni che compromettono la sicurezza.
• Esempio reale: L’hack dell’account X del CEO di Polychain Capital ha coinvolto tattiche di ingegneria sociale. Gli aggressori hanno ingannato il CEO facendogli rivelare informazioni che hanno permesso loro di accedere all’account e pubblicare annunci fraudolenti su falsi airdrop, causando la perdita dei fondi degli utenti.

Finti giveaway e airdrop

I truffatori spesso approfittano dell’entusiasmo intorno a giveaway e airdrop. Promettono token o coin gratuiti in cambio di piccoli pagamenti o informazioni personali, ma i giveaway non sono mai reali.

• Come funziona: I truffatori creano account social o siti web falsi che fingono di offrire token gratuiti. Per riceverli, agli utenti viene chiesto di verificare i propri wallet inviando una piccola quantità di crypto o fornendo le proprie private key per ricevere il giveaway. Una volta ottenuti i dati desiderati, i truffatori spariscono lasciando gli utenti a mani vuote.
• Esempio reale: Durante la truffa Bitcoin su Twitter del 2020, gli hacker hanno usato account compromessi di alto profilo per promuovere un falso giveaway di Bitcoin, riuscendo a rubare oltre 100.000 dollari. Allo stesso modo, l’hack di CertiK ha coinvolto un falso sito Revoke, inducendo gli utenti a rivelare i dettagli del proprio wallet.

Distribuzione di malware

Il malware, o software dannoso, è un’altra tattica comune usata dai truffatori per rubare token. Il malware può essere camuffato da software, app o link legittimi ed è progettato per raccogliere informazioni sensibili o ottenere accesso non autorizzato al dispositivo dell’utente.

• Come funziona: Una volta installato, il malware può registrare i tasti digitati, fare screenshot o persino concedere accesso remoto all’aggressore. Spesso prende di mira applicazioni wallet o piattaforme in cui avvengono transazioni di criptovalute.
• Esempio reale: L’hack di Mandiant ha coinvolto la condivisione di un link a una pagina truffa che probabilmente distribuiva malware. Visitando la pagina, gli utenti scaricavano inconsapevolmente software malevolo che rivelava informazioni sensibili sui loro crypto wallet sulla blockchain di Solana.

Come proteggerti

Proteggersi dagli hack sui social media legati alle crypto richiede una combinazione di consapevolezza e best practice. Ecco le strategie chiave per mettere al sicuro i tuoi asset:

• Abilita l’autenticazione a più fattori (MFA) su tutti i tuoi account. L’MFA aggiunge un ulteriore livello di sicurezza richiedendo non solo una password ma anche una seconda forma di verifica, come un codice da un’app di autenticazione. Questo riduce notevolmente il rischio di accessi non autorizzati anche se la password viene compromessa.
• Diffida dei messaggi non richiesti, delle email o dei post sui social che chiedono informazioni sensibili. Controlla sempre due volte gli URL e verifica la legittimità di qualsiasi richiesta di dati personali. Evita di cliccare su link o scaricare allegati da fonti sconosciute o sospette.
• Aggiorna regolarmente i tuoi dispositivi e software. I software obsoleti possono avere vulnerabilità che gli hacker sfruttano. Abilita gli aggiornamenti automatici per sistemi operativi, browser e app dei wallet crypto. Inoltre, usa programmi antivirus e anti-malware affidabili per proteggere i tuoi dispositivi da software malevolo.
• Usa password forti e uniche per ciascuno dei tuoi account. Un password manager può aiutarti a generare e archiviare password complesse, rendendo più semplice mantenere una sicurezza elevata su più piattaforme.
• Impara le tecniche comuni di ingegneria sociale, come l’impersonificazione e il pretexting, e verifica sempre l’identità di chiunque richieda informazioni sensibili.
• Proteggi le tue private key. Conservale offline in un hardware wallet o in un luogo fisico sicuro, e non condividerle mai con nessuno. Fai attenzione a inserire le private key in piattaforme online, perché questo può esporti al furto.
• Monitora l’attività del tuo account regolarmente per rilevare e reagire rapidamente a comportamenti sospetti. Imposta avvisi per i tentativi di accesso e le transazioni, e controlla spesso l’attività del tuo account. Segnala immediatamente qualsiasi azione insolita per limitare i potenziali danni.
• Evita di effettuare transazioni sensibili su Wi‑Fi pubblico, che può essere insicuro e soggetto a intercettazioni da parte di soggetti malevoli. Se devi usare un Wi‑Fi pubblico, assicurati di avere una virtual private network (VPN) affidabile per crittografare i tuoi dati. Idealmente, esegui le transazioni su reti private e sicure.
• Verifica l’autenticità delle comunicazioni, soprattutto quelle relative a transazioni finanziarie o aggiornamenti di sicurezza. Contatta direttamente l’entità usando informazioni di contatto verificate se ricevi un messaggio strano. Non usare i recapiti presenti nel messaggio sospetto stesso, perché possono portare a una perdita di dati. 

Conclusione

L’aumento degli hack sui social media legati alle crypto sottolinea la necessità di solide pratiche di sicurezza e di vigilanza. Aggiorna regolarmente le impostazioni di sicurezza e diffida delle comunicazioni non richieste per proteggere i tuoi asset e aumentare la fiducia nelle interazioni online. Nel mondo imprevedibile dei social media, una sicurezza proattiva è la tua migliore difesa. Dai priorità alla protezione della tua ricchezza digitale per rimanere al sicuro.