Una nuova ondata di attacchi informatici sta prendendo di mira chi investe nelle meme coin, sfruttando una tecnica tanto semplice quanto efficace: far credere alla vittima di dover superare un normale controllo di sicurezza Cloudflare prima di accedere a un sito. Dietro quella schermata, però, si nasconde una vera e propria truffa phishing meme coin che ha già causato perdite pesanti. Secondo report di mercato del 16 settembre, diverse pagine popolari legate a token meme reindirizzavano i visitatori verso finte schermate di verifica che chiedevano di eseguire comandi sul proprio computer, aprendo la porta a script malevoli capaci di prosciugare l’intero dispositivo.

Punti chiave

• Pagine phishing camuffate da verifiche Cloudflare colpiscono i trader di meme coin.
• Il trader @cladzsol ha dichiarato di aver perso circa 600.000 dollari dopo aver eseguito uno script malevolo.
• I link phishing vengono inseriti nei campi metadata dei token, consultati da chi cerca nuovi progetti.
• L’attacco chiede di eseguire script con privilegi di amministratore su Windows, a differenza dei classici drain di wallet via transazione blockchain.
• Piattaforme di aggregazione come DexScreener mostrano questi metadata, ma non ci sono prove che siano state compromesse direttamente.

Truffa con falsa verifica Cloudflare colpisce i trader di meme coin

Il meccanismo alla base di questo attacco phishing meme coin punta dritto alle abitudini di chi opera nel settore: aprire rapidamente link, siti di progetto e profili social per non perdere l’occasione su un token appena lanciato. È proprio in quella fretta che si infila la trappola.

Esecuzione di script maligni tramite pagine di verifica

Le pagine incriminate imitano fedelmente l’interfaccia di una verifica Cloudflare falsa, un passaggio che milioni di utenti attraversano ogni giorno senza sospettare nulla. Una volta seguite le istruzioni mostrate a schermo, la vittima scarica ed esegue involontariamente uno script capace di agire direttamente sul computer. L’account @insidecalls ha descritto la sequenza con chiarezza, spiegando che il sito mostra un controllo Cloudflare fittizio prima di chiedere all’utente di lanciare un payload con privilegi di amministratore su Windows.

Trader denuncia perdite per 600.000 dollari

Il caso più eclatante riguarda il trader @cladzsol, che ha reso pubblica la perdita di circa 600.000 dollari dopo essere incappato in una di queste pagine mentre tentava un’operazione di bridging. Il dettaglio non è secondario: non si tratta di un principiante distratto, ma di un operatore esperto, segno che questo genere di malware portafoglio crypto può colpire chiunque abbassi la guardia per pochi secondi davanti a una schermata che sembra legittima.

Distribuzione dei link phishing tramite manipolazione dei metadata token

Il punto debole sfruttato dagli attaccanti non è il wallet in sé, ma i canali attraverso cui i trader raccolgono informazioni sui nuovi progetti. È qui che entra in gioco il phishing metadata token, una tecnica che trasforma uno strumento di ricerca legittimo in un vettore d’attacco.

Incorporazione di siti malevoli nei metadata dei token

I campi metadata associati a un token, quelli che normalmente riportano il sito ufficiale del progetto o i canali social, possono essere modificati dai creatori del token stesso o da chi successivamente rivendica il controllo della community. Gli attaccanti sfruttano esattamente questo margine per inserire un indirizzo malevolo dove il trader si aspetterebbe di trovare la homepage autentica del progetto.

Ruolo delle piattaforme di aggregazione come DexScreener

Piattaforme di tracciamento e trading come DexScreener mostrano proprio queste informazioni pescate dai metadata, ed è per questo che i report più recenti hanno segnalato ritardi nella revisione dei link visualizzati da questo tipo di servizi. Va detto con chiarezza: nessuna delle fonti disponibili indica che DexScreener sia stata compromessa direttamente, il problema riguarda piuttosto la velocità con cui certi contenuti malevoli riescono a passare inosservati prima di essere filtrati.

In cosa differisce questo attacco dalle truffe comuni di svuotamento wallet

La maggior parte dei drain di wallet nel settore crypto segue uno schema noto: la vittima collega il proprio wallet a un sito falso e firma una transazione che, senza saperlo, autorizza il trasferimento dei fondi a un contratto controllato dall’attaccante. Questa truffa phishing meme coin segue invece una strada diversa e più insidiosa: non chiede alcuna approvazione on-chain, ma spinge la vittima a eseguire codice direttamente sul proprio computer. Una volta che lo script è in esecuzione a livello locale, l’attacco non è più limitato a ciò che accade sulla blockchain: può accedere a file, credenziali e qualsiasi altro dato presente sul dispositivo, ampliando enormemente il danno potenziale rispetto a una singola transazione malevola.

Campagne malware correlate e precedenti incidenti di phishing crypto

Il caso della falsa verifica Cloudflare non è un episodio isolato, ma l’ultimo capitolo di una tendenza che negli ultimi mesi ha visto phishing e malware intrecciarsi sempre più spesso per sottrarre informazioni sui wallet e altre credenziali dai computer degli utenti.

Ad agosto un’applicazione desktop falsa presentata come “Claude Opus 5 Free Desktop” ha distribuito il malware RevStealer, capace di colpire oltre 50 wallet crypto diversi secondo l’azienda di sicurezza Morphisec, che ha rilevato come il programma raccogliesse dati anche da password manager e browser prima di inviarli a infrastrutture controllate dagli attaccanti. A maggio, invece, la piattaforma di sicurezza Socket ha scoperto la campagna TrapDoor, basata su almeno 34 pacchetti malevoli e 384 versioni correlate diffuse su npm, PyPI e nell’ecosistema Rust, pensata per raccogliere dati di wallet insieme a token GitHub, credenziali cloud, chiavi API e accessi SSH.

Anche i trader di meme coin hanno già pagato un prezzo alto per situazioni simili. Nell’agosto 2024 l’aggregatore decentralizzato Solana Jupiter aveva lanciato l’allarme su un’estensione Chrome malevola chiamata Bull Checker, promossa come strumento per analizzare gli holder dei meme coin ma in realtà capace di modificare le transazioni e reindirizzare i token verso un altro indirizzo.

Ad agosto, inoltre, un trader di Hyperliquid aveva perso circa 50.000 dollari dopo aver cliccato su un annuncio sponsorizzato su Google che portava a una versione contraffatta della piattaforma; la società di sicurezza blockchain Salus aveva ricondotto l’infrastruttura dietro quel sito all’ecosistema del drainer Inferno, dotato di script malevoli, generazione automatica di comandi di approvazione e strumenti per il prelievo cross-chain dei fondi rubati.

I report del 16 settembre sono stati chiari su come proteggersi da questa truffa crypto: chi si trova davanti a una presunta pagina di verifica Cloudflare che chiede di eseguire comandi o script deve semplicemente chiudere la pagina, senza interagire in alcun modo con le istruzioni mostrate a schermo.

FAQ

Come funzionano le truffe phishing sulle meme coin con falsa verifica Cloudflare?

Le pagine di verifica Cloudflare false inducono i trader a eseguire script malevoli sul proprio computer chiedendo di lanciare comandi con privilegi di amministratore.

Come vengono distribuiti i link phishing ai trader di meme coin?

Gli attaccanti inseriscono siti web phishing nei campi metadata dei token, che i trader aprono mentre ricercano progetti appena lanciati, spesso mostrati da piattaforme di aggregazione come DexScreener.

In cosa differisce l’attacco con falsa verifica Cloudflare dalle comuni truffe di svuotamento wallet?

Invece di chiedere l’approvazione di una transazione blockchain malevola, questo attacco induce le vittime a eseguire codice direttamente sul proprio computer, permettendo attività dannose a livello locale.

Cosa dovrebbero fare i trader se incontrano una pagina di verifica Cloudflare sospetta?

Ai trader viene raccomandato di chiudere immediatamente la pagina sospetta ed evitare di eseguire qualsiasi comando o script richiesto.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.