defi-trust.co è una truffa: una lettera di differenza e cosa prova davvero un hash

Premessa: siamo uno studio legale e ci occupiamo esclusivamente di truffe online e di abusiva prestazione di servizi finanziari. Questo articolo nasce da un caso reale trattato dallo studio e viene pubblicato in forma anonima quanto alla persona offesa, a fini di pubblica utilità. I dati tecnici provengono da verifiche sui registri pubblici dei nomi a dominio effettuate alla data di pubblicazione. Se ti riconosci in quello che leggi, puoi sottoporci la tua situazione compilando il form che trovi in fondo a questa pagina.

Una lettera. Fra defi-trust.co, il dominio di questa vicenda, e l'estensione commerciale più diffusa al mondo c'è una lettera di differenza, e in una barra degli indirizzi letta di fretta quella differenza non si vede.

Non è l'unico motivo per cui questo caso merita un articolo a sé. L'altro è che, pur essendo del 2023 e pur essendo il sito ormai sparito, le transazioni sono ancora tutte leggibili, e la persona offesa ne conserva gli identificativi.

defi-trust.co è una truffa, lo studio ha già trattato questo caso, e qui spieghiamo due cose pratiche: perché un'estensione può ingannare da sola, e come si legge davvero un hash di transazione quando bisogna scrivere una denuncia.

Perché defi-trust.co è una truffa: le verifiche

Il dominio defi-trust.co oggi non risulta più registrato, come gli altri due indirizzi usati nella stessa vicenda — uno con estensione .site e uno che inverte le stesse due parole. Tre insegne, tutte spente.

Dietro defi-trust.co non è mai esistita una società, una partita IVA, un'autorizzazione a prestare servizi di investimento, un riferimento a un intermediario iscritto in un elenco di vigilanza. L'etichetta "DeFi" — finanza decentralizzata — serviva a spiegare in anticipo perché, quando il denaro fosse sparito, non ci sarebbe stato nessuno a cui chiederne conto.

La lettera che manca: .co non è .com

Qui c'è il contributo più utile dell'articolo su defi-trust.co per chi legge prima di versare.

.co è l'estensione nazionale della Colombia, aperta da anni alla registrazione da parte di chiunque nel mondo e venduta commercialmente. È perfettamente lecita e migliaia di progetti seri la usano. Ma ha una caratteristica che la rende preziosa per chi vuole ingannare: è .com senza la "m".

In una barra degli indirizzi letta di sfuggita, su uno schermo di telefono, dentro un link ricevuto in chat, quella "m" mancante è quasi invisibile. È lo stesso principio delle estensioni che somigliano ad altre e dei nomi che somigliano a marchi noti: non serve ingannare chi guarda con attenzione, basta ingannare chi guarda di fretta.

Da qui due regole pratiche che valgono sempre, non solo per defi-trust.co.

Leggere l'indirizzo da destra a sinistra. La parte che conta è quella immediatamente prima della barra: è lì che si trova il dominio vero. Tutto quello che sta prima — sottodomini, prefissi, parole rassicuranti — lo sceglie chi ha registrato il nome.

Diffidare dei link ricevuti. Un indirizzo digitato a mano, o raggiunto da un segnalibro salvato in precedenza, non può essere sostituito. Un link che arriva in chat sì.

L'hash: cosa prova e cosa no

Veniamo alla parte che, nel fascicolo defi-trust.co, fa davvero la differenza.

Ogni trasferimento di criptovaluta registrato su una blockchain pubblica ha un identificativo univoco, comunemente chiamato hash della transazione: una lunga stringa alfanumerica che inizia tipicamente con "0x" su alcune reti. Quella stringa è l'indirizzo esatto di quella singola operazione all'interno del registro.

Cosa prova un hash: che quella operazione è avvenuta, in quella data e a quell'ora, per quell'importo, in quella valuta, da un indirizzo di partenza verso un indirizzo di destinazione. È un dato oggettivo, verificabile da chiunque, immutabile e permanente.

Cosa non prova: chi sia il titolare dell'indirizzo di destinazione. Gli indirizzi su blockchain non contengono nomi.

In defi-trust.co questa distinzione è decisiva nella redazione dell'atto, ed è il motivo per cui una denuncia che si limita ad allegare un elenco di hash è incompleta. L'hash è il punto di partenza di una ricostruzione, non la sua conclusione.

Abbiamo trattato più diffusamente questo aspetto nell'articolo su m.hashvalueks.com.

Come si segue il denaro: dall'hash al nome

Il percorso, nelle vicende come quella di defi-trust.co, è questo, e vale la pena conoscerlo anche solo per sapere cosa chiedere.

Dall'hash si risale all'indirizzo di destinazione. Da quell'indirizzo si osservano i movimenti successivi: i fondi raramente restano fermi, vengono suddivisi, aggregati, spostati attraverso più passaggi.

Si continua a seguirli fino al punto in cui escono dal circuito, cioè fino a quando vengono convertiti in moneta tradizionale o trasferiti a un prestatore di servizi. Quel punto è quasi sempre una piattaforma di scambio.

Ed è lì che avviene la cosa importante: quei prestatori, nell'Unione europea, sono soggetti agli obblighi antiriciclaggio. Devono identificare i clienti, conservare i dati delle operazioni e rispondere alle richieste dell'autorità giudiziaria. È il momento in cui un indirizzo anonimo incontra un documento d'identità.

Per questo la denuncia non deve limitarsi a elencare gli hash: deve chiedere espressamente di seguire il flusso fino ai punti di conversione e di acquisire presso quei soggetti i dati identificativi dei titolari, con richiesta di sequestro preventivo (art. 321 c.p.p.) di quanto eventualmente ancora presente.

Il vantaggio che hanno i casi in criptovaluta

C'è un aspetto di defi-trust.co che sorprende molte persone, e che va detto perché cambia la percezione del proprio caso.

Nelle vicende come quella di defi-trust.co, il tempo danneggia molto meno le prove rispetto a una truffa fatta con bonifici verso conti esteri.

I siti spariscono: i tre domini della vicenda defi-trust.co non sono più registrati, e con essi sono svaniti i dati dei registranti e le configurazioni tecniche. I registri di accesso dei fornitori hanno vite brevissime.

Il registro pubblico delle transazioni, invece, non si cancella. Un trasferimento del 2023 è leggibile oggi esattamente come lo era allora, e lo sarà anche fra dieci anni. Non dipende dalla buona volontà di nessuno e non ha una scadenza.

Questo non significa che aspettare sia indifferente — i dati dei prestatori di servizi hanno invece termini di conservazione, dieci anni per la normativa antiriciclaggio, e il denaro si muove — ma significa che un caso in criptovaluta di qualche anno fa non è un caso senza prove.

L'inquadramento giuridico

I fatti riferiti a defi-trust.co sono del 2023, quindi anteriori alla legge 90/2024: l'aggravante dell'art. 640 comma 2-ter c.p. non è applicabile. Vanno contestate la minorata difesa (art. 61 n. 5 c.p.) e il danno patrimoniale di rilevante gravità (art. 61 n. 7 c.p.).

I trasferimenti effettuati su più domini della stessa attività configurano il reato continuato (art. 81 cpv. c.p.). L'offerta al pubblico di servizi di investimento senza autorizzazione integra l'art. 166 del Testo unico della finanza, procedibile d'ufficio.

Il punto più rilevante, per un caso del 2023, riguarda però il riciclaggio (art. 648-bis c.p.) e l'autoriciclaggio (art. 648-ter.1 c.p.): i passaggi successivi dei fondi e la loro conversione sono condotte autonome, successive alla truffa, con termini di prescrizione più lunghi e decorrenza propria. Nelle vicende in criptovaluta questi passaggi sono documentati sul registro pubblico, e quindi dimostrabili.

Cosa fare adesso

Chi ha trasferito criptovalute a defi-trust.co, o a una piattaforma costruita allo stesso modo, deve procurarsi:

l'elenco completo degli hash di ogni trasferimento e degli indirizzi di destinazione; l'esportazione completa della cronologia del proprio exchange, in formato originale; l'esportazione nativa delle conversazioni con la funzione dell'applicazione, con date e orari; gli screenshot della piattaforma e del saldo mostrato, se ne restano; l'elenco di tutti i domini usati nella vicenda, con i periodi; e la documentazione della provenienza lecita delle criptovalute impiegate.

La denuncia, o l'integrazione di quella già presentata, deve contenere la richiesta di sequestro preventivo (art. 321 c.p.p.), la richiesta di informazioni sull'iscrizione ex art. 335 c.p.p., la richiesta di avviso in caso di archiviazione ex art. 408 comma 2 c.p.p. e, soprattutto, la richiesta espressa di tracciamento dei flussi fino ai punti di conversione.

E l'avvertimento che vale sempre: chi vi contatta promettendo di "recuperare le criptovalute" dietro un pagamento anticipato è la seconda truffa. Nessuno può restituire fondi da una blockchain senza passare dall'autorità.

Casi analoghi già trattati dallo studio

Chi ha incrociato defi-trust.co trova utili anche la nostra analisi su defi-trust.site, sulla stessa vicenda dal punto di vista di chi ha eseguito i trasferimenti, quella su trust-defi.link, sulla rotazione dei nomi, e quella su dam.w24platform.com, su un dominio cancellato.

Se hai gli hash, hai più di quanto pensi

Il quadro è questo. defi-trust.co è una truffa: un dominio con un'estensione che somiglia a quella più comune del mondo a meno di una lettera, oggi non più registrato come gli altri due nomi della stessa attività, dietro cui non è mai esistita una società.

Ma se conservi gli identificativi delle transazioni, non sei a mani vuote. I siti si spengono, il registro pubblico no: quelle operazioni restano leggibili, e da lì parte il lavoro di ricostruzione fino al punto in cui i fondi hanno incontrato un'identità.

Lo studio ha già trattato questo caso. Puoi sottoporci la tua situazione per una valutazione preliminare.

Se hai subito la stessa truffa, possiamo aiutarti. Compila il form che trovi in fondo a questa pagina.