Porta blindata di un caveau con combinazione a disco

Analisi · Wallet

Trust Wallet e le truffe: falso supporto, drainer di approvazioni e l'incidente dell'estensione di dicembre 2025, secondo le pagine di Trust Wallet

Pubblicato il 15 ottobre 2026A cura della redazione di CryptoGuardz (in inglese)6 min di lettura11 fonti

Foto: Jason Dent / Unsplash

In breve, dai documenti

Come funzionano le truffe su Trust Wallet?

Quasi sempre convincendo l'utente a consegnare la frase di recupero o a firmare una transazione, non violando il wallet. Le pagine di Trust Wallet lette il 14 ottobre 2026 indicano cinque schemi: app false, falso supporto, airdrop fraudolenti, token clone e drainer. L'eccezione è l'estensione v2.68, che a dicembre 2025 ha svuotato 2.520 indirizzi.

Documenti controllati l'ultima volta il 15 ottobre 2026Rivisto da Redazione di CryptoGuardz

Una truffa su Trust Wallet funziona quasi sempre convincendo l'utente a consegnare la frase di recupero o a firmare una transazione, non forzando il wallet. Le pagine sulla sicurezza di Trust Wallet, lette il 14 ottobre 2026, indicano cinque schemi: app false, falsi operatori di supporto, airdrop fraudolenti, token clone e drainer di approvazioni. L'eccezione è stata l'estensione per browser v2.68, che a dicembre 2025 ha svuotato 2.520 indirizzi.

La pagina sulla sicurezza di Trust Wallet di agosto 2026 riassume il primo punto in una riga: Phishing sites, fake "support" agents, and crypto drainers work by convincing you to hand over the phrase or sign a bad transaction. Siti di phishing, falsi operatori e drainer ti convincono a cedere la frase o a firmare una transazione dannosa. La scheda del wallet, le clausole di custodia e il fascicolo degli incidenti sono nella pagina sulla sicurezza di Trust Wallet (in inglese).

Quali truffe su Trust Wallet descrive Trust Wallet stesso?

Truffa	Come funziona, secondo Trust Wallet	Il controllo indicato da Trust Wallet
App falsa	App e siti copia aim to steal your secret phrase	Sviluppatore indicato come Trust Wallet nello store
Falso supporto	Contatto via email, social o chat claiming to be from Trust Wallet support	Trust Wallet will never ask for your seed phrase
Airdrop fraudolento	Siti falsi chiedono di collegarsi o approvare; These transactions can instantly drain your wallet	Un token o NFT non richiesto is usually a scam
Token clone	Stesso nome, indirizzo del contratto diverso	Controllare l'indirizzo del contratto
Drainer di approvazioni	Un'approvazione firmata permette a un contratto di spostare token	Revocare le approvazioni; limitare gli importi

Come funziona la truffa del falso supporto Trust Wallet?

Prima arriva un messaggio, prima ancora di qualsiasi vera richiesta di assistenza. La guida di Trust Wallet sulle app false, aggiornata il 19 agosto 2026, descrive truffatori che contact you through email, social media, or chat applications, claiming to be from Trust Wallet support. Ti contattano per email, social o chat fingendosi l'assistenza. La guida sulle truffe aggiunge dove: si presentano pose as customer support representatives or community members on platforms like Discord and Telegram, come operatori o membri della community su Discord e Telegram, e direct you to malicious websites under the guise of helping you resolve an issue. Ti mandano su siti malevoli con la scusa di risolvere un problema.

Il punto d'arrivo è la frase. Le parole di Trust Wallet:

Remember: Trust Wallet will never ask for your seed phrase through an app or email. If you encounter such a request, it's a scam.

Trust Wallet blog, How to Avoid Fake Trust Wallet Apps, retrieved 2026-10-14

Trust Wallet non chiede mai la seed phrase via app o email: se succede, è una truffa. I termini, come registrati nel registro, lo confermano: Trust Wallet not gain or retain your wallet password, encrypted private key, unencrypted private key, or secret phrase, non ottiene né conserva password, chiavi private o frase segreta. Nessun vero operatore ha quindi qualcosa da ripristinare, e chi si offre di farlo è la truffa. Come funziona la frase è spiegato in che cos'è una seed phrase.

Come fa un drainer di approvazioni a svuotare un Trust Wallet?

Attraverso un permesso che l'utente ha firmato. La guida di Trust Wallet sui drainer dice che Approvals can be limited to a specific amount of tokens or set as "unlimited", cioè limitate a un importo o illimitate, e che quelle illimitate remain active indefinitely unless revoked, even if you stop using the dApp. Restano attive finché non le revochi, anche se smetti di usare la dApp. Scollegarsi non basta: Even after disconnecting from a dApp, token approvals remain active on the blockchain.

Secondo la guida i drainer arrivano through phishing attacks or fraudulent dApps, travestiti da investment opportunities, NFT minting sites, or token airdrops, e possono usare off-chain signatures (like EIP-2612), firme fuori catena che non richiedono alcuna transazione di approvazione sulla blockchain. Le contromisure indicate: approvare solo l'importo necessario, revocare le approvazioni inutilizzate con strumenti come Revoke.cash o il Token Approval Checker di Etherscan tramite WalletConnect, e leggere l'avviso del Security Scanner. Trust Wallet stesso descrive quello scanner come a prompt to look closer, not a guarantee. Un invito a guardare meglio, non una garanzia.

Che cosa è successo all'estensione di Trust Wallet a dicembre 2025?

Una versione malevola, non un messaggio truffa. Il post di Trust Wallet sull'incidente, pubblicato il 30 dicembre 2025 e aggiornato il 17 luglio 2026:

On December 24, 2025, an unauthorized and malicious version of the Trust Wallet Browser Extension (version 2.68) was published to the Chrome Web Store outside of our standard release process (without mandatory review).

Trust Wallet blog, v2.68 incident update, retrieved 2026-10-14

Il 24 dicembre 2025 una versione non autorizzata e malevola, la 2.68, è stata pubblicata sul Chrome Web Store fuori dal normale processo di rilascio, senza la revisione obbligatoria. Trust Wallet la collega, con high confidence, all'incidente sulla catena di fornitura npm Sha1-Hulud di novembre 2025, che aveva esposto segreti GitHub degli sviluppatori, tra cui the Chrome Web Store (CWS) API key. La finestra colpita va dal 24 al 26 dicembre 2025, per gli utenti della v2.68 che hanno aperto l'estensione ed effettuato l'accesso. Gli utenti dell'app mobile non sono stati coinvolti. Trust Wallet identified 2,520 wallet addresses that were affected by this incident and drained by the attackers, with approximately $8.5 million in assets impacted: 2.520 indirizzi svuotati, circa 8,5 milioni di USD coinvolti, collegati a 17 indirizzi degli attaccanti che, osserva Trust Wallet, hanno svuotato anche wallet estranei all'incidente. La correzione è stata un ritorno indietro: verified clean version 2.67, released as 2.69. Trust Wallet decided to voluntarily reimburse the affected users. Ha cioè deciso di rimborsare volontariamente gli utenti colpiti.

Non è il primo incidente dell'estensione. La CVE-2023-31290, riportata nel registro, riguarda versioni dell'estensione in cui la generazione del seed usava solo 32 bit di entropia, as exploited in the wild in December 2022 and March 2023.

Chi ha preso di mira i rimborsi della v2.68?

Richiedenti che non erano vittime. L'aggiornamento di Trust Wallet dice di aver received over 5,000 claims, indicating a significant number of duplicate or false submissions likely attempting to take victims’ reimbursements, oltre 5.000 richieste a fronte di 2.520 indirizzi verificati, molte duplicate o false. L'indicazione alle vere vittime: presentare la domanda solo tramite il modulo ufficiale su be-support.trustwallet.com, Please be cautious of impersonators, e Trust Wallet will never ask for your private keys, seed phrases, or passwords.

È lo schema che segue ogni svuotamento pubblico: falsi portali per i rimborsi e falsi "agenti di recupero". La FTC statunitense ricorda che i pagamenti crypto typically are not reversible, di norma non si annullano, e le offerte di recupero a pagamento sono trattate, insieme ai canali ufficiali, nella pagina sull'aiuto dopo una truffa (in inglese).

Risposte rapide

La chat di supporto di Trust Wallet è una truffa?

Un operatore che ti contatta per primo, o che chiede la frase di recupero, è una truffa secondo la definizione di Trust Wallet stesso, che will never ask for your seed phrase through an app or email. Pagina sulla sicurezza di Trust Wallet (in inglese).

Trust Wallet è stato hackerato?

L'estensione per browser v2.68 sì. Una versione malevola pubblicata il 24 dicembre 2025 ha svuotato 2.520 indirizzi, con circa 8,5 milioni di USD coinvolti su 17 indirizzi degli attaccanti; gli utenti mobile non sono stati toccati, e Trust Wallet dice di rimborsare le vittime.

Come si ferma un drainer?

Revoca le approvazioni inutilizzate, approva importi limitati e non firmare mai su un sito raggiunto da un link non richiesto. La guida di Trust Wallet ricorda che le approvazioni restano attive even if you stop using the dApp. Checklist sull'autocustodia (in inglese).

Trust Wallet può annullare una transazione truffa?

No. Non detiene chiavi, e la FTC ricorda che i pagamenti crypto typically are not reversible. Vedi la pagina sull'aiuto dopo una truffa (in inglese).

Altre analisi

16 ottobre 2026Ledger Nano X, recensione dalle pagine di Ledger: specifiche, prezzo, Ledger Recover e due incidentiIl Ledger Nano X è in listino a 99 USD sul negozio USA di Ledger, letto il 14 ottobre 2026, con chip ST33J2M0 certificato CC EAL5+, Bluetooth 5.2 e batteria da 5 ore. Ledger Recover è un backup a pagamento e facoltativo. La fuga di dati del 2020 e l'attacco al Connect Kit del 2023 non hanno violato il dispositivo, ma hanno alimentato furti tramite phishing e firme malevole.16 ottobre 2026MetaMask o Trust Wallet: che cosa dicono i loro termini su custodia, reti, commissioni di swap e incidentiEntrambi sono wallet in autocustodia i cui termini dicono che la società non può recuperare una frase persa. MetaMask pubblica una commissione di swap dello 0,875% e nomina 19 reti; Trust Wallet parla di oltre 100 blockchain, non pubblica una commissione standard e ha rimborsato gli utenti dopo la falla della sua estensione di dicembre 2025.16 ottobre 2026Seed phrase: che cos'è, che cosa dice lo standard BIP-39 e come la gestiscono 30 walletLa seed phrase è una lista di 12-24 parole, definita dallo standard BIP-39, da cui il wallet ricava tutte le chiavi. Chi ha le parole controlla i fondi. Dei 30 wallet del registro, 11 offrono un backup cloud e 3 dividono il recupero con il fornitore.15 ottobre 2026Staking crypto: che cosa significa, quanto restano bloccate le monete, che cos'è lo slashing e quanto trattengono gli exchangeFare staking di crypto significa bloccare monete in una rete proof-of-stake a sostegno di un validatore, in cambio di ricompense e con il rischio di slashing. Lo staking in proprio su Ethereum richiede 32 ETH. Coinbase trattiene il 35% delle ricompense, Kraken il 30% sullo staking flessibile. Il fisco USA le tassa come reddito; quello italiano non è stato verificato.16 ottobre 2026Wallet USDT TRC20: quali wallet tengono Tether su Tron, quanto costa un invio in TRX e chi può bloccarloUSDT TRC20 è il token di Tether sulla blockchain Tron, al contratto TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t. Lo può tenere qualsiasi wallet con indirizzi Tron, 16 su 30 nel registro, ma l'invio costa TRX per energy e bandwidth, e i termini di Tether gli consentono di bloccare i token di chiunque.16 ottobre 2026Come comprare USDT, quali exchange lo quotano, quale rete scegliere e quanto costaNegli Stati Uniti Coinbase e Gemini quotano USDT, Robinhood lo mostra solo come dato di mercato. Tether vende direttamente solo a clienti verificati, con un minimo di 100.000 USD. Nello SEE, Italia compresa, Coinbase, Kraken e Binance lo hanno limitato o tolto dalla negoziazione per MiCA. La rete scelta al prelievo decide se i token arrivano.

Fonti

Ogni fonte compare con il proprio titolo, nella lingua in cui è stata pubblicata, con la data di consultazione.

Su questo articolo

Redatto dalla redazione di CryptoGuardz sulle fonti elencate sopra. Ricerca e bozza sono assistite da IA e vengono riviste da un redattore con nome e cognome prima della pubblicazione. Niente qui è un invito a giocare. Se una cifra o una lettura è sbagliata, segnalacelo (in inglese): la correzione viene registrata in pubblico.

Questo articolo esiste anche in inglese: Trust Wallet scams: fake support, drainers, v2.68