I truffatori stanno sfruttando la fine del periodo transitorio del regolamento MiCA dell'Unione Europea per impersonare autorità di vigilanza e aziende crypto, indirizzando gli utenti a trasferire asset tramite siti web falsi e indirizzi di wallet controllati dai criminali.

Secondo quanto riportato dal Financial Times, diversi organismi di controllo dell'UE hanno osservato un aumento delle truffe di impersonificazione dopo la scadenza MiCA del 1 luglio 2026. L'Autorité des Marchés Financiers (AMF) francese ha documentato casi in cui i criminali si sono finti rappresentanti dell'AMF e hanno istruito gli utenti a spostare asset tramite siti fraudolenti. Anche la European Securities and Markets Authority (ESMA) ha segnalato un uso improprio della propria identità e del proprio logo attraverso documenti falsificati e altre comunicazioni ingannevoli.

MiCA — il Markets in Crypto-Assets Regulation — è il quadro normativo completo dell'UE che disciplina i fornitori di servizi su crypto-asset e gli emittenti di token, coprendo aree come la custodia, le operazioni di exchange e l'emissione di stablecoin. È uno dei primi regimi regolamentari crypto su larga scala adottati da una grande giurisdizione. L'ondata di chiusure legittime delle piattaforme e di migrazioni degli account derivante dalla conformità a MiCA ha reso istruzioni non familiari più credibili agli occhi dei consumatori, creando condizioni che i truffatori stanno sfruttando attivamente. I picchi di frodi durante le transizioni regolamentari sono un modello ricorrente nei mercati finanziari, poiché i criminali approfittano dell'incertezza dei consumatori su nuove regole e cambiamenti nei rapporti con i provider.

Le vere chiusure per MiCA aprono la strada alle frodi

Il periodo transitorio di MiCA si è concluso in tutta l'Unione Europea il 1 luglio 2026. Solo i provider autorizzati MiCA e alcune imprese finanziarie regolamentate che utilizzano il relativo percorso di notifica possono continuare a offrire servizi su crypto-asset nell'UE.

ESMA ha istruito i provider che non potevano più operare legalmente a chiudere in modo ordinato le proprie attività nell'UE. Ai provider veniva richiesto di dare ai clienti un preavviso sufficiente e consentire loro di trasferire gli asset a un provider autorizzato o a un wallet self-hosted.

I criminali possono replicare il linguaggio di tali avvisi legittimi sostituendo però i propri siti web, account di supporto o indirizzi di wallet. Il messaggio può affermare che gli asset devono essere spostati prima che l'accesso venga limitato.

Il Financial Times ha riferito che un elenco ESMA aggiornato alla fine di luglio conteneva 323 record di provider autorizzati. Il fornitore di dati VASPnet aveva stimato poco prima della scadenza che circa 1.700 provider rimanessero attivi nei regimi nazionali senza autorizzazione MiCA. Il dato ESMA riguarda i provider autorizzati dopo la scadenza, mentre la stima VASPnet rifletteva le entità legacy prima della conclusione della transizione. Il dato VASPnet non è un conteggio ufficiale ESMA e non indica che 1.700 società siano state singolarmente obbligate a chiudere. Il divario tra le due cifre evidenzia la portata della transizione in corso nel mercato dell'UE.

Come operano i messaggi truffa

Il primo contatto può sembrare provenire da un exchange, da ESMA, dall'AMF o da un'altra autorità finanziaria nazionale. I criminali usano loghi copiati, firme dall'aspetto ufficiale, numeri di pratica inventati e siti web clonati per dare legittimità alle proprie comunicazioni.

Un tipico avviso fraudolento può affermare che:

• L'exchange del cliente non è più autorizzato a servire i clienti dell'UE.
• Gli asset verranno bloccati se l'account non viene verificato entro una scadenza.
• I fondi devono essere spostati su una piattaforma temporanea conforme.

Il messaggio quindi reindirizza l'utente lontano dall'applicazione o dal sito web ufficiale dell'exchange. Una pagina di phishing può richiedere credenziali di accesso, codici di autenticazione o informazioni di recupero del wallet. In altri casi, alla vittima viene chiesto di inviare crypto direttamente a un wallet controllato dai truffatori.

Alcune piattaforme clonate vanno oltre mostrando un saldo account inventato. Quando la vittima tenta il prelievo, il sito richiede un ulteriore pagamento di "tasse" o di conformità.

ESMA afferma che gli impostori utilizzano email, telefonate, messaggi di testo e social media. L'autorità ha inoltre individuato certificati contraffatti, documenti falsificati e siti web che riproducono il suo nome e la sua identità visiva.

Le autorità di vigilanza non forniscono indirizzi di wallet per depositi

Una piattaforma in fase di chiusura può legittimamente chiedere ai clienti di prelevare, vendere o trasferire i propri asset. Tali istruzioni dovrebbero essere accessibili tramite l'applicazione verificata del provider, il sito web o il canale di supporto consolidato.

L'AMF ha dichiarato che i provider interessati dovrebbero dare un preavviso sufficiente e consentire ai clienti di trasferire le proprie crypto a un provider autorizzato, spostarle in un wallet self-hosted o venderle prima della fine dei servizi.

ESMA avverte separatamente che non contatta le persone per recuperare fondi, richiedere informazioni personali o esigere pagamenti amministrativi. Lo stesso principio si applica ai messaggi che sostengono che l'autorità debba ricevere asset durante una migrazione correlata a MiCA.

L'AMF avverte inoltre di non offrire servizi finanziari né di contattare le persone per svolgere operazioni finanziarie per suo conto. Qualsiasi messaggio che affermi che un'autorità di vigilanza abbia creato un wallet temporaneo, un indirizzo di escrow o un account di tutela dovrebbe quindi essere considerato fraudolento.

Verificare la società, il canale e la richiesta

Verificare la società

Identificare l'entità giuridica indicata nel contratto del cliente, quindi cercarla nel registro MiCA provvisorio di ESMA e nel registro nazionale competente.

L'autorizzazione MiCA si applica a una specifica entità giuridica, non automaticamente a tutte le società affiliate che utilizzano lo stesso marchio commerciale.

La sola autorizzazione non prova che il messaggio o il sito web che contatta il cliente sia autentico. I criminali possono impersonare anche provider autorizzati.

ESMA aggiorna il proprio registro centrale ogni settimana, quindi le informazioni nazionali inviate di recente potrebbero non apparire immediatamente. Gli utenti possono verificare con l'autorità nazionale competente quando lo status di un provider non è chiaro. Gli utenti francesi possono consultare le whitelist dei provider autorizzati dell'AMF e le sue separate blacklist di società non autorizzate e siti web fraudolenti. L'assenza da una blacklist non prova che un sito sia sicuro, poiché nuovi domini compaiono continuamente.

Verificare il canale

Non utilizzare link, numeri di telefono o account di supporto inclusi in un messaggio di avviso. Aprire l'exchange tramite la sua applicazione ufficiale o un indirizzo salvato in precedenza, quindi contattare il supporto attraverso un canale consolidato.

Controllare il dominio completo e l'indirizzo del mittente invece di fare affidamento sul nome visualizzato. Gli indirizzi email ufficiali di ESMA terminano con @esma.europa.eu, ma i criminali possono usare caratteri o domini visivamente simili.

Verificare la richiesta

Un provider o un'autorità di vigilanza legittimi non hanno bisogno di una seed phrase o di una private key per verificare un account. Non divulgare codici di autenticazione, password o informazioni di recupero del wallet.

Una richiesta di inviare crypto per provare la proprietà, pagare una commissione di conformità urgente o depositare fondi in un wallet temporaneo della vigilanza consegna al destinatario il controllo degli asset. Gli utenti non dovrebbero inviare trasferimenti di prova o di "verifica". Le transazioni blockchain generalmente non possono essere annullate dopo la conferma, il che rende molto difficile recuperare gli asset inviati al wallet di un truffatore.

Conservare le prove e segnalare l'incidente

Dopo aver ricevuto un messaggio sospetto, gli utenti dovrebbero interrompere la comunicazione e conservare l'email, il numero di telefono, il profilo social media, il dominio del sito web, l'indirizzo del wallet e qualsiasi documento fornito.

Qualsiasi presunto cambiamento dell'account dovrebbe essere confermato tramite il canale di supporto ufficiale della piattaforma. Una sospetta impersonificazione di ESMA può essere segnalata tramite le informazioni di contatto presenti nella pagina di ESMA su frodi e truffe.

Chiunque abbia già trasferito asset dovrebbe conservare l'hash della transazione e informare immediatamente l'exchange o il provider del wallet. L'incidente dovrebbe inoltre essere segnalato alla polizia locale e alla competente autorità finanziaria nazionale.

La conclusione della transizione MiCA può richiedere ad alcuni clienti di cambiare provider, ma qualsiasi istruzione dovrebbe essere verificata attraverso i canali ufficiali consolidati della piattaforma prima che gli asset vengano spostati.