I nuovi annunci su Google svuotano i wallet crypto
Annunci Google sponsorizzati da Inferno e Vanilla Drainer hanno prosciugato wallet crypto di centinaia di utenti tra marzo e aprile 2026.
I drainer come Inferno e Vanilla sfruttano annunci Google per colpire migliaia di wallet
Immagina di cercare “Uniswap” su Google e cliccare sul primo risultato che compare, quello con la piccola etichetta “Sponsorizzato”. In pochi secondi, senza che tu abbia firmato nulla di strano — o almeno così ti sembra — il tuo wallet crypto viene prosciugato. Non è uno scenario ipotetico: è quello che è successo a centinaia di utenti tra marzo e aprile 2026. Stando a annunci malevoli SEAL, l’organizzazione per la sicurezza blockchain Security Alliance ha bloccato oltre 356 URL di annunci Google malevoli in poche settimane, documentando furti confermati per 810.929 dollari solo nel periodo dal 13 al 30 marzo 2026. Uniswap è il brand più preso di mira, ma non è certo l’unico.
Il paradosso dei numeri
C’è un dato che sembra quasi rassicurante: stando a perdite phishing 2025 elaborate da Scam Sniffer, le perdite da phishing nel settore crypto sono crollate dell’83% su base annua nel 2025, scendendo da 494 milioni di dollari a circa 83,85 milioni. Un miglioramento enorme. Eppure le campagne aggressive continuano, i wallet continuano a svuotarsi, e le tecniche dei criminali diventano ogni anno più raffinate. Come è possibile? Come fanno questi drainer a essere ancora così efficaci nonostante i progressi?
Come funzionano i drainer moderni
Per capire come sia possibile, bisogna guardare da vicino le tecniche dei drainer. I due protagonisti di queste campagne sono Inferno Drainer e Vanilla Drainer, le due famiglie di malware più frequentemente osservate nelle campagne tracciate da SEAL. Pensali come due laboratori criminali in competizione, entrambi specializzati nell’aggirare le difese che il settore ha costruito negli ultimi anni.
Inferno Drainer è il caso più sorprendente. Aveva annunciato la propria chiusura alla fine del 2023 — un gesto quasi teatrale nel mondo del cybercrimine — ma Inferno Drainer aggiornato, analizzato da Check Point Research, ha continuato a operare indisturbato, accumulando almeno 9 milioni di dollari di perdite in sei mesi, colpendo oltre 30.000 wallet. Le campagne recenti mostrano aggiornamenti tecnici significativi: Inferno usa contratti intelligenti monouso e di breve durata — come chiavi usa-e-getta che esistono solo il tempo necessario a commettere il furto — configurazioni crittografate direttamente sulla blockchain e una comunicazione basata su proxy per rendere quasi impossibile tracciare il traffico malevolo. Il risultato pratico è che le blacklist anti-phishing dei wallet, che normalmente bloccano URL sospetti conosciuti, non riconoscono nulla di familiare: ogni campagna è tecnicamente “nuova”.
Vanilla Drainer ha una storia diversa ma ugualmente preoccupante. Attivo Vanilla Drainer furto sin dall’ottobre 2024, ha rubato almeno 5,27 milioni di dollari in sole tre settimane di operatività. La rapidità è la sua cifra distintiva: campagne intensive, rotazione veloce degli annunci, monetizzazione immediata prima che i sistemi di difesa riescano a reagire. Se Inferno è il laboratorio sofisticato, Vanilla è la catena di montaggio industriale. Insieme, rappresentano due filosofie criminali diverse che convergono sullo stesso obiettivo: sfruttare la fiducia che gli utenti ripongono nei risultati di Google. E qui sta il vero problema strutturale: quando vedi un annuncio sponsorizzato con il logo di Uniswap, il tuo cervello fa un’associazione automatica di legittimità. I drainer lo sanno benissimo. Se i drainer si aggiornano così rapidamente, cosa ci aspetta nei prossimi mesi?
La sfida che resta aperta
Le risposte difensive esistono, ma arrancano. Google, nel 2025, ha bloccato o rimosso oltre 8,3 miliardi di annunci e sospeso 24,9 milioni di account, di cui 602 milioni di annunci e 4 milioni di account direttamente associati a truffe, secondo il sicurezza annunci Google 2025. Numeri impressionanti sulla carta. Ma i criminali aprono nuovi account pubblicitari più velocemente di quanto i sistemi automatici riescano a chiuderli. È un po’ come svuotare il mare con un cucchiaio — funziona, ma il livello dell’acqua non scende abbastanza in fretta. Anche in questo caso specifico, Google ha sospeso tutti gli account pubblicitari elencati nel rapporto di SEAL, ma la segnalazione è arrivata settimane dopo l’inizio delle campagne.
SEAL sta costruendo un sistema di monitoraggio e segnalazione più reattivo, ma la finestra temporale tra il lancio di un annuncio malevolo e la sua rimozione rimane il punto critico. In quei minuti — a volte ore — migliaia di utenti possono cliccare, connettersi, e perdere fondi. La domanda che resta aperta non è se Google riuscirà a bloccare questi annunci, ma se riuscirà a farlo abbastanza velocemente da rendere le campagne economicamente non convenienti per chi le lancia.
La partita tra truffatori e difensori è tutt’altro che chiusa. Il calo dell’83% nelle perdite da phishing è un segnale incoraggiante, ma racconta solo metà della storia: l’altra metà è che chi è ancora nel gioco si è fatto molto più bravo. La prossima volta che cerchi un’app crypto su Google, forse vale la pena guardare due volte l’URL prima di connettere il wallet.
