Truffe in criptovalute: l'Ucraina smantella una rete da un milione di dollari al mese

La Polizia nazionale ucraina ha smantellato una rete di finte piattaforme di investimento in criptovalute che, secondo gli inquirenti, movimentava fino a un milione di dollari al mese e ha colpito risparmiatori in oltre venti Paesi. Il meccanismo impiegato — il cosiddetto wallet drainer — è lo stesso che ricorre con frequenza crescente nelle vertenze trattate dallo Studio. Conviene dunque esaminarlo da vicino, per comprendere quali strumenti l'ordinamento italiano offra alla vittima e quali margini di recupero siano concretamente praticabili.

1Il fatto accertato dalle autorità ucraine

Il 3 settembre 2026 la Polizia nazionale ucraina ha comunicato la conclusione di una vasta operazione condotta dal proprio Dipartimento centrale investigativo, con il concorso del Servizio di sicurezza dell'Ucraina e sotto la direzione della Procura generale. L'indagine, ripresa nei giorni immediatamente successivi dalla stampa specializzata internazionale, riguarda una rete di piattaforme fittizie di investimento in valuta virtuale gestita da una struttura organizzata con base a Kiev.

Gli inquirenti indicano in sessantadue le vittime sino ad oggi identificate, residenti in più di venti Paesi, tra i quali Germania, Polonia, Lituania, Lettonia, Spagna, Francia, Regno Unito, Canada e Israele. Il giro d'affari stimato dell'organizzazione raggiungeva, secondo la ricostruzione investigativa, il milione di dollari al mese. L'organizzatore sarebbe un venticinquenne con competenze informatiche, che avrebbe reclutato oltre quarantasei cittadini ucraini distribuiti su ruoli distinti: tecnici incaricati della realizzazione e della manutenzione dei siti, operatori addetti al primo contatto con le vittime, responsabili di sede e personale di sicurezza.

Snodo decisivo dell'indagine è stata l'individuazione dell'infrastruttura informatica, collocata nei Paesi Bassi, e l'accesso al relativo archivio: un database contenente l'elenco delle vittime, gli indirizzi dei portafogli, gli importi sottratti, le comunicazioni interne e la documentazione operativa del gruppo. Sono state eseguite trentaquattro perquisizioni a Kiev e nelle aree limitrofe, con sequestro di oltre cento computer e apparati informatici, oltre cento telefoni cellulari, settantanove schede SIM, un gateway GSM, quindici autoveicoli, denaro contante e documentazione. Il procedimento risulta iscritto per il delitto di truffa previsto dall'articolo 190, comma 5, del codice penale ucraino; l'ammontare complessivo delle somme sottratte non è ancora stato quantificato e le indagini proseguono per l'individuazione di ulteriori concorrenti e di ulteriori persone offese.

2Il meccanismo: il saldo che cresce e il portafoglio che si svuota

La costruzione fraudolenta descritta dagli inquirenti si articola in due fasi nettamente distinte. Nella prima, la vittima viene indotta ad aprire un conto su una piattaforma di investimento apparentemente ordinaria e a versarvi una somma iniziale contenuta. L'interfaccia mostra nei giorni successivi un saldo in costante crescita, alimentato da rendimenti del tutto fittizi: nessun investimento viene realmente eseguito e la cifra visualizzata è un semplice numero scritto in una pagina web. Questa apparenza di redditività assolve a una funzione precisa, quella di costruire un affidamento che renda l'utente disponibile al passaggio successivo.

La seconda fase si apre nel momento in cui la vittima chiede di prelevare. Le viene allora richiesto di collegare alla piattaforma il proprio portafoglio principale — quello che custodisce le disponibilità effettive — e di autorizzare un'operazione presentata come mera verifica tecnica, di importo irrisorio. È questo il passaggio che produce il danno: il sito ospita un software di drenaggio che, sfruttando l'autorizzazione così ottenuta, trasferisce automaticamente i fondi verso indirizzi riconducibili agli organizzatori. Completato il trasferimento, la vittima perde ogni accesso al proprio conto sulla piattaforma.

3Perché la vicenda riguarda anche i risparmiatori italiani

L'operazione ucraina non annovera, fra i Paesi indicati, l'Italia; sarebbe però un errore trarne una qualsiasi rassicurazione. Le reti di questo tipo sono replicabili con costi modesti, operano per campagne successive su bacini linguistici diversi e mutano denominazione con rapidità. Lo schema descritto — piattaforma dall'aspetto professionale, rendimenti esibiti, richiesta di collegamento del portafoglio personale in sede di prelievo — è quello che ricorre con maggiore frequenza nelle segnalazioni che giungono allo Studio, e la circostanza che una specifica organizzazione sia stata disarticolata a Kiev non incide sulla diffusione del modello.

Va aggiunta una considerazione di ordine pratico. Il fatto che gli inquirenti abbiano acquisito un archivio contenente indirizzi di portafoglio e importi sottratti apre, per le persone offese, una possibilità concreta di riconoscimento: chi ritenga di essere stato coinvolto in questa specifica vicenda ha interesse a formalizzare senza indugio la propria posizione, affinché possa essere collegata alle risultanze già nella disponibilità dell'autorità procedente.

4Le qualificazioni penali nell'ordinamento italiano

Ricondotta all'ordinamento interno, la condotta descritta è suscettibile di integrare una pluralità di fattispecie, la cui individuazione dipende dalle modalità concrete dell'aggressione patrimoniale. Quando il pregiudizio deriva dall'induzione in errore della vittima, che dispone del proprio patrimonio per effetto degli artifici e raggiri, viene in rilievo la truffa di cui all'articolo 640 del codice penale. Laddove invece il trasferimento sia stato realizzato mediante intervento senza diritto su dati e informazioni contenuti in un sistema informatico — come accade con il software di drenaggio, che opera sulle autorizzazioni del portafoglio — trova applicazione la frode informatica prevista dall'articolo 640-ter del codice penale. Le due qualificazioni non si escludono necessariamente e la scelta dipende dalla ricostruzione del segmento causale nel quale si colloca la perdita patrimoniale.

A ciò si aggiungono, secondo le circostanze, l'accesso abusivo a sistema informatico o telematico di cui all'articolo 615-ter del codice penale, la sostituzione di persona prevista dall'articolo 494 quando gli operatori si presentino sotto falsa identità o con qualifiche professionali inesistenti, nonché le fattispecie di riciclaggio e autoriciclaggio degli articoli 648-bis e 648-ter.1, che assumono rilievo centrale nella fase di dispersione dei fondi attraverso servizi di conversione e catene di indirizzi.

Quanto alla procedibilità, occorre una precisazione che incide sui tempi della vittima: sia la truffa semplice sia la frode informatica non aggravata sono procedibili a querela della persona offesa, da proporre entro tre mesi dalla notizia del fatto. La presenza di circostanze aggravanti muta il regime in procedibilità d'ufficio, ma il termine va comunque rispettato per non pregiudicare la posizione processuale di chi ha subito il danno.

5Che cosa fare nelle prime ore

La tempestività è, in questa materia, il fattore che più di ogni altro condiziona l'esito. Chi si accorga del drenaggio deve anzitutto revocare le autorizzazioni concesse al contratto intelligente e trasferire le disponibilità residue verso un portafoglio nuovo, generato con chiavi diverse: finché l'autorizzazione resta attiva, il prelievo può ripetersi su ogni somma successivamente accreditata. Contestualmente occorre cristallizzare la prova, conservando in forma integrale le comunicazioni intercorse con gli operatori, gli indirizzi delle pagine utilizzate, gli identificativi delle transazioni e ogni documento relativo ai versamenti effettuati.

Sul piano formale, la denuncia-querela va presentata alla Polizia postale e delle comunicazioni o all'Arma dei Carabinieri, corredata della documentazione raccolta e della ricostruzione cronologica dei fatti. La qualità di questa ricostruzione — in particolare l'indicazione precisa degli indirizzi di destinazione e degli identificativi delle transazioni — incide direttamente sulla possibilità di richiedere il congelamento delle somme presso i prestatori di servizi che le abbiano ricevute.

6Il recupero delle somme: strumenti e limiti realistici

Il recupero è possibile, ma dipende da una condizione: che i fondi raggiungano, in qualche punto della catena, un operatore soggetto a obblighi di identificazione della clientela. Le somme che permangono in portafogli non custoditi restano di fatto irraggiungibili; quelle che transitano per un prestatore di servizi di conversione o di custodia divengono invece aggredibili, perché quell'operatore è tenuto a conservare i dati identificativi del titolare e può essere destinatario di un provvedimento di blocco.

L'attività si articola quindi in tre direzioni convergenti. La prima è l'analisi della catena di trasferimenti, condotta con strumenti di tracciamento, per individuare il punto di emersione dei fondi presso un operatore identificabile. La seconda è la sollecitazione di un provvedimento di sequestro preventivo ai sensi dell'articolo 321 del codice di procedura penale, funzionale alla successiva confisca, anche per equivalente, secondo il richiamo operato dall'articolo 640-quater del codice penale. La terza è l'attivazione dei canali di cooperazione giudiziaria internazionale, che nei rapporti con l'Ucraina passa per gli strumenti convenzionali del Consiglio d'Europa e per la Convenzione di Budapest sulla criminalità informatica del 23 novembre 2001, ratificata in Italia con la legge 18 marzo 2008, n. 48.

7La cornice regolatoria: come riconoscere un operatore legittimo

Dal 30 dicembre 2024 il mercato europeo delle cripto-attività è disciplinato dal Regolamento (UE) 2023/1114, cosiddetto MiCAR, cui l'ordinamento italiano si è adeguato con il decreto legislativo 5 settembre 2024, n. 129. Il regolamento subordina ad autorizzazione la prestazione dei servizi per le cripto-attività e impone agli operatori autorizzati requisiti organizzativi, patrimoniali e informativi, oltre a obblighi di separazione e custodia dei fondi della clientela.

Ne discende un criterio di verifica preliminare che ogni risparmiatore può applicare autonomamente: il soggetto che offre il servizio deve risultare autorizzato e figurare negli elenchi pubblici tenuti dalle autorità competenti, nazionali o europee. Una piattaforma che non sia reperibile in tali elenchi, o che eluda la richiesta di indicare il proprio soggetto autorizzante, non offre alcuna garanzia; e la circostanza che il sito sia curato nella grafica e che l'interlocutore risulti disponibile e competente non ha, sotto questo profilo, alcun significato.

• ✓Accertare che l'operatore risulti autorizzato e iscritto negli elenchi pubblici delle autorità di vigilanza, prima di qualunque versamento.
• ✓Rifiutare in modo categorico ogni richiesta di collegare il portafoglio principale per «sbloccare», «verificare» o «attivare» un prelievo.
• ✓Considerare che un rendimento certo, costante e privo di rischio non esiste in alcun mercato: la sua promessa è di per sé il segnale della frode.

8Domande frequenti

9Conclusioni

L'operazione condotta in Ucraina conferma due dati che l'esperienza professionale registra con costanza: la frode in criptovalute è oggi un'attività organizzata su base industriale, con divisione dei compiti e infrastrutture dedicate; e il suo punto di massima efficacia non è tecnologico, ma psicologico, risiedendo nell'affidamento costruito attraverso un saldo che cresce. La difesa più efficace resta quella preventiva, fondata sulla verifica dell'autorizzazione dell'operatore e sul rifiuto di collegare il proprio portafoglio principale a piattaforme non verificate. Quando il danno si è già prodotto, il fattore decisivo diviene la rapidità: revoca immediata delle autorizzazioni, conservazione integrale della prova, denuncia tempestiva e tracciamento dei flussi finché sono ancora leggibili.