Verificare l'identità del fondatore o dello sviluppatore di una criptovaluta dovrebbe significare controllare se le affermazioni pubbliche siano coerenti, attribuibili e supportate da prove indipendenti. Non dovrebbe significare pubblicare un indirizzo di casa, esporre i familiari, acquistare dati riservati o cercare di imporre una persona anonima al pubblico. In senso stretto, il doxxing è la divulgazione di informazioni private identificative senza consenso. Una due diligence responsabile si mantiene entro i limiti delle informazioni che la persona o l'organizzazione ha intenzionalmente reso pubbliche e registra le conclusioni senza amplificare dettagli sensibili.
L'obiettivo pratico è modesto: decidere se un progetto possiede sufficienti prove di identità e responsabilità in base al livello di rischio. Un risultato positivo non garantisce l'onestà del team, il successo di un token o la sicurezza di un portafoglio. Significa però che è possibile spiegare cosa è stato verificato, cosa resta da verificare e quando è opportuno sospendere l'analisi anziché affidarsi a una biografia apparentemente affidabile.
Nota: questa guida si basa su verifiche di fonti pubbliche e documentazione ufficiale disponibili a settembre 2026. Piattaforme social, repository, registri aziendali e interfacce dei wallet possono cambiare. Non chiedere mai a un fondatore o a uno sviluppatore una frase di recupero, una chiave privata, una password, un codice monouso o un trasferimento di fondi come prova di identità.
Affermare che "il fondatore esiste davvero" è un'affermazione troppo vaga per essere verificata. È necessario suddividere l'affermazione in domande più specifiche. La persona che dichiara di essere la stessa persona fisica indicata sul sito web del progetto? Controlla l'account sviluppatore che contribuisce al progetto? L'azienda menzionata nella presentazione è effettivamente registrata? Questa persona controlla il portafoglio pubblico che si presume appartenga alla tesoreria o al team? Si tratta di affermazioni diverse che richiedono prove diverse.
Annota l'affermazione prima di effettuare la ricerca. Questo riduce il bias di conferma, per cui le prove convincenti ricevono maggiore peso rispetto alle informazioni contraddittorie. Registra anche la data, l'handle esatto, l'URL del repository, il numero di registrazione dell'azienda, l'indirizzo del portafoglio e la fonte in cui è apparsa ogni affermazione. Utilizza identificativi pubblici anziché copiare dati personali nelle note.
Una biografia sui social media, una foto a una conferenza o un sito web ben curato possono supportare un'affermazione, ma nessuno di questi elementi è di per sé conclusivo. Investor.gov avverte che i truffatori possono copiare nomi, nickname, loghi e siti web per impersonare professionisti legittimi. Per questo motivo, il punto di partenza dovrebbe essere una fonte controllata dal progetto e poi verifiche incrociate indipendenti, non un singolo profilo.
Apri il sito web ufficiale del progetto, la documentazione, il repository e la pagina pubblica del team tramite i link pubblicati dal progetto stesso. Quindi confronta se lo stesso nome utente pubblico, ruolo e descrizione del progetto compaiono sugli account collegati. Un collegamento incrociato autentico è più utile di uno screenshot fornito in una chat, perché permette di esaminare la destinazione e la sua cronologia.
Verificate la presenza di piccole incongruenze: una diversa ortografia del nome, un account creato di recente, un repository non collegato alla documentazione del progetto o un profilo che dichiara un ruolo mai menzionato dall'organizzazione. Questi elementi richiedono ulteriori verifiche, non costituiscono una prova di frode. Le persone cambiano datore di lavoro, nome utente e affiliazione, e i collaboratori di progetti open source possono utilizzare pseudonimi per legittime ragioni di sicurezza.
Non spingetevi oltre e non date la caccia ai dati personali. Evitate di cercare indirizzi privati, parenti, numeri di telefono privati, account social privati, database trapelati o report di data broker. Non pubblicate un nome legale sospetto solo perché compare in un vecchio documento. Se il team opta per un modello pseudonimo, valutate le misure di sicurezza tecniche e di governance del progetto, anziché considerare l'anonimato di per sé come un reato.
Esaminate la cronologia del repository per individuare attività di sviluppo consistenti e attribuibili: commit significativi, discussioni sui problemi, note di rilascio, pull request, correzioni di sicurezza e un ruolo tecnico coerente. Verificate se lo sviluppatore dichiarato compare effettivamente nella cronologia del progetto nel tempo, anziché affidarvi a una foto del profilo o a un elenco di consulenti famosi.
GitHub documenta la verifica delle firme dei commit GPG, SSH e S/MIME. Lo stato "verificato" indica che un commit è stato firmato da una chiave riconosciuta secondo il processo di verifica di GitHub. Questa è una prova preziosa sulla relazione tra una chiave e un commit. Tuttavia, non dimostra, di per sé, che la chiave appartenga alla specifica persona giuridica indicata in un post di marketing, né che il codice sia sicuro.
Utilizzate questa distinzione quando valutate le prove. Una lunga cronologia di commit firmati su un account stabile è più solida di un singolo commit non verificato, ma si tratta pur sempre di un'attribuzione tecnica e non di una prova di identità rilasciata da un ente governativo. Leggete attentamente le modifiche effettive, i tag di rilascio, le risposte ai problemi e le informative sulla sicurezza. Uno sviluppatore può essere affidabile e comunque rilasciare codice difettoso; allo stesso modo, un repository ben curato può essere gestito da una persona diversa da quella dichiarata.
Se il progetto dichiara di operare tramite una società, è necessario reperire la denominazione legale e il numero di registrazione da una fonte pubblica. Successivamente, è possibile effettuare una ricerca autonomamente nel registro governativo competente. Ad esempio, il sistema EDGAR della SEC fornisce accesso pubblico ai documenti depositati dalle società soggette al suo sistema di segnalazione, mentre il registro della Companies House del Regno Unito offre informazioni sulla società, la cronologia dei depositi, i dirigenti e altri dati. Questi sono solo esempi, non prove universali valide per ogni giurisdizione o progetto di criptovaluta.
Confronta la voce del registro con le informazioni pubblicate relative al progetto: denominazione legale, giurisdizione, stato, amministratori o dirigenti, date di deposito e tipo di attività descritta. Un registro aziendale attivo dimostra l'esistenza di un registro; non dimostra che l'azienda sia autorizzata a offrire un particolare prodotto finanziario, che ogni affermazione presente sul sito web sia accurata o che un amministratore indicato gestisca personalmente l'account online.
Fate attenzione agli indirizzi. La sede legale può essere un indirizzo di servizio e non è un motivo valido per pubblicare l'indirizzo di residenza di una persona. Registrate solo le informazioni minime necessarie per valutare il progetto. Se il progetto dichiara di possedere una licenza, consultate il registro dell'ente regolatore e verificate l'esatta forma giuridica, l'ambito di applicazione e lo stato della licenza. La registrazione di una società e l'autorizzazione regolamentare sono questioni distinte.
Un fondatore può rivendicare il controllo di un portafoglio di tesoreria, di distribuzione o di donazioni. Il test pubblico più sicuro consiste in un messaggio formulato in modo preciso e firmato dall'indirizzo rivendicato, seguito da una verifica indipendente della firma. Lo standard ERC-191 di Ethereum descrive un formato per i dati firmati e i portafogli o gli strumenti di verifica possono implementare la firma dei messaggi in modi diversi. Utilizza un messaggio ben comprensibile e conferma esattamente cosa ti viene richiesto di firmare dal portafoglio.
Un messaggio di test sicuro dovrebbe identificare il proprio scopo ed evitare istruzioni, approvazioni, permessi o dati arbitrari e opachi simili a transazioni. Ad esempio: "Controllo l'indirizzo pubblico 0x... per la verifica dell'identità del progetto il 16/09/2026". L'indirizzo dovrebbe essere indicato per intero nel record di verifica effettivo, non abbreviato in modo da creare ambiguità. Una firma può dimostrare il controllo di un portafoglio in quel momento. Non dimostra il nome legale della persona, la provenienza dei fondi, la sicurezza del contratto o l'assenza di conflitti di interesse non dichiarati.
Non chiedere mai a nessuno di inviare fondi, rivelare una frase di recupero, esportare una chiave privata, disabilitare i controlli di sicurezza o firmare una transazione che trasferisce asset. Se una richiesta relativa al portafoglio non è chiara, rifiutala. Investor.gov avverte che i truffatori nel settore delle criptovalute possono utilizzare l'impersonificazione, i social media, piattaforme false e richieste di commissioni aggiuntive. La verifica dell'identità dovrebbe ridurre la tua esposizione al rischio, non creare una nuova opportunità per approvare una transazione dannosa.
| Prova | Ciò che supporta | Ciò che non dimostra |
|---|---|---|
| Link ufficiali del progetto al profilo pubblico | Associazione e coerenza dell'account | Identità legale o onestà |
| Lunga cronologia del repository attribuibile | Coinvolgimento tecnico nel tempo | qualità del codice o identità personale |
| Firma del commit verificata | Controllo di una chiave di firma per un commit | Chi controlla la chiave nel mondo reale? |
| Registro delle società governative | Esistenza di un'entità giuridica registrata | Approvazione normativa o solidità finanziaria |
| Firma del messaggio del portafoglio | Controllo di un indirizzo di portafoglio pubblico | Possesso di un'identità legale o intenzioni sicure |
Utilizzate una soglia decisionale anziché un'etichetta binaria. Per importi modesti che potete permettervi di perdere, link pubblici e una cronologia tecnica coerente potrebbero essere sufficienti per proseguire la ricerca. Per investimenti consistenti, accordi di custodia, vendite di token o ruoli di fornitore di servizi, richiedete prove più solide: un'entità giuridica chiara, uno status normativo verificabile in modo indipendente (ove applicabile), una governance trasparente, pratiche di sicurezza documentate e un canale di comunicazione non controllato da un singolo account anonimo.
Interrompete la procedura se la persona vi mette sotto pressione per agire rapidamente, insiste sul fatto che le critiche siano vietate, vi invia a una chat privata per una verifica "esclusiva", chiede un pagamento prima di autorizzare un prelievo o presenta screenshot anziché documenti verificabili in modo indipendente. Questi segnali non provano un reato specifico, ma peggiorano le aspettative di un ulteriore coinvolgimento. Passate dalla verifica dell'identità alla prevenzione dei rischi: non collegate un portafoglio, non firmate messaggi, non trasferite fondi e non condividete documenti personali.
Cambia approccio anche quando le prove sono contraddittorie. Non colmare le lacune con congetture o accuse provenienti da fonti anonime. Segnala l'affermazione come non verificata, chiedi al progetto una spiegazione pubblica attraverso un canale ufficiale e conserva appunti neutrali. Se il denaro è già a rischio, contatta la borsa, la banca, l'autorità di regolamentazione o il servizio di segnalazione delle forze dell'ordine competente tramite il suo sito web ufficiale. Non affrontare o smascherare online una persona sospetta.
Una verifica responsabile dell'identità nel mondo delle criptovalute è un controllo stratificato basato su fonti pubbliche: definire la rivendicazione, collegare gli account pubblici intenzionali, esaminare il lavoro tecnico svolto nel tempo, verificare l'azienda o la licenza dichiarata in un registro ufficiale e utilizzare le firme dei wallet solo per testare il controllo di un indirizzo pubblico. Il risultato dovrebbe essere una valutazione del rischio documentata, non un dossier pubblico.
Il limite è fondamentale. Nessuna lista di controllo pubblica può garantire che un fondatore sia affidabile, che uno sviluppatore sia competente o che un progetto non fallirà. Se un progetto esige certezze pur rifiutando le normali responsabilità, la conclusione corretta non è quella di indagare in modo più approfondito, bensì di ridurre l'esposizione o di abbandonare il progetto.
Scopri come funzionano le commissioni di transazione di Ethereum, cosa significano le commissioni base e le commissioni prioritarie e metodi pratici per ridurre i costi di transazione in modo sicuro.
Scopri come verificare l'identità dei fondatori e degli sviluppatori di criptovalute utilizzando prove pubbliche e indipendenti, senza ricorrere al doxxing, alla divulgazione di dati privati o al rischio di compromettere il tuo portafoglio.
Impara come realizzare profitti con le meme coin utilizzando uscite graduali, controlli di liquidità, limiti di rischio, consapevolezza fiscale e regole chiare prima di un'inversione di tendenza improvvisa.
Scopri come funziona il DCA (Dollar Cost Averaging) nel mercato ribassista delle criptovalute, quali rischi può ridurre, da cosa non può proteggerti e come costruire un piano disciplinato senza confonderlo con un investimento sicuro.
Impara a leggere i pattern candlestick delle criptovalute utilizzando OHLC, i corpi delle candele, le ombre, il contesto del trend, la conferma e i controlli del rischio, senza considerare i pattern come garanzie.
Scopri come gestire le controversie sui pagamenti P2P in criptovalute, confronta l'attesa con la presentazione di un ricorso, conserva le prove, evita rilasci rischiosi e inoltra la tua richiesta all'assistenza dell'exchange.
Hai perso la tua app di autenticazione? Scopri come Coinbase, Binance, Kraken e OKX gestiscono il recupero dell'autenticazione a due fattori, il ripristino delle impostazioni di sicurezza, le verifiche dell'identità e i blocchi dei prelievi.
Scopri come funziona la tassazione delle criptovalute negli Stati Uniti, quali transazioni sono tassabili, quali documenti conservare, come vengono calcolati il costo di acquisto e i guadagni e dove dichiararli.
Scopri come tracciare l'attività del tuo portafoglio con Etherscan e BscScan, leggere i dettagli delle transazioni, seguire i trasferimenti di token, verificare le approvazioni ed evitare gli errori più comuni.
Impara a individuare i segnali di allarme più pericolosi nei white paper e nelle roadmap delle criptovalute, dagli sblocchi nascosti dei token e dai team non verificabili alle autorizzazioni rischiose degli smart contract.
