C’è sempre una clausola che non ti hanno fatto leggere.

Noi le leggiamo, su 758 tra conti, carte, exchange e wallet: ogni numero con la sua fonte e la sua data, anche quando è scomodo dirlo. Per non farti fregare non devi diventare esperto — ci pensiamo noi.

Vedi le classifiche → Non so cosa mi serve

Monitor sicurezza verificato al 6 settembre 2026

Hack, blocchi dei prelievi e provvedimenti sui servizi del registro. Apri una voce per lo stato, le ultime informazioni e cosa fare.

28 ago Avici Money Hack / furto di fondi risolto

Exploit dei contratti carta su Solana dell'emittente Rain: drenati 500.859 $ dai saldi carta di 1.685 utenti · 501K USD

Il 28/8/2026 un attaccante ha sfruttato una vulnerabilità in una versione obsoleta dei contratti carta Solana dell'emittente Rain, prelevando fondi dai saldi carta degli utenti. Avici ha riconosciuto il problema circa due ore dopo il primo furto; il token AVICI ha perso il 49% sul minimo storico. Le prime stime onchain parlavano di oltre 1 M$ (10.005 SOL più USDC e USDT), ma la riconciliazione ufficiale pubblicata da Avici la sera del 28/8 (ore 22:44 CEST) ridimensiona il danno a 500.859,22 $ su 1.685 utenti colpiti. Avici precisa che i wallet Solana ed EVM dell'app sono self-custodial e NON sono stati toccati: colpito solo il contratto Solana separato che custodisce il saldo caricato sulla carta. Il contratto è stato aggiornato su tutti i programmi e non si osserva altra attività non autorizzata. Avici ha promesso il rimborso integrale di tutti gli utenti colpiti e ha depositato una denuncia all'Internet Crime Complaint Center dell'FBI. Il 29/8 Avici ha dichiarato i rimborsi ESEGUITI: saldo ripristinato per intero a tutti gli utenti colpiti, più un 10% di cashback aggiuntivo sull'importo prelevato. Contratto Solana aggiornato, nessuna ulteriore attività collegata osservata.

Cosa fare

Incidente chiuso: Avici dichiara i rimborsi eseguiti, con un 10% in più sull'importo prelevato. Apri l'app e verifica che il saldo carta sia stato ripristinato e che il bonus sia arrivato; se manca qualcosa, documenta il prelievo (hash, orari, screenshot) e apri un ticket citando il comunicato del 29/8. I wallet Solana ed EVM dell'app sono self-custodial e non erano stati toccati. Resta valida una sola cautela: dopo un caso così circolano siti-clone e falsi «rimborsi» — quello vero è già arrivato nell'app e non ti chiederà mai di collegare il wallet o firmare una transazione.

Fonte: x.com ↗ verificato il 1 settembre 2026 Vedi la scheda →

28 ago Rain Card Hack / furto di fondi risolto

Vulnerabilità nei contratti Solana in versione obsoleta: 932.804 $ prelevati dai saldi carta di due programmi partner (Avici e Tria) · 933K USD

Il 28/8/2026 i sistemi di monitoraggio di Rain hanno rilevato una vulnerabilità che interessava «un numero ridotto di programmi» che usavano una versione obsoleta dei contratti Solana di Rain; gli altri programmi non risultano impattati. Rain dichiara (X, 28/8 ore 22:26 CEST) di aver aggiornato tutti i programmi alla versione corrente dei contratti, chiudendo la falla, di aver ingaggiato una società forense terza e di voler coinvolgere forze dell'ordine e autorità; promesso il rimborso integrale di tutti gli utenti colpiti. Rain non ha pubblicato un totale proprio: le uniche cifre ufficiali arrivano dalle riconciliazioni dei due programmi che si sono dichiarati colpiti — Avici (28/8, 500.859,22 $ su 1.685 utenti) e Tria (29/8, 431.945 $ su 636 utenti), per 932.804 $ e 2.321 utenti complessivi. Entrambi precisano che i wallet self-custodial non sono stati toccati: colpito solo il contratto Solana separato che custodisce il saldo caricato sulla carta. Il 29/8 Rain ha dichiarato che TUTTI i titolari di carta colpiti sono stati rimborsati per intero, con i fondi nei contratti degli utenti e tutti i programmi aggiornati e operativi; Avici e Tria hanno confermato separatamente i rimborsi eseguiti, ciascuno con un 10% aggiuntivo. Le analisi forensi proseguono. Nessun altro programma carta si è dichiarato colpito.

Cosa fare

Incidente chiuso: Rain dichiara rimborsati per intero tutti i titolari colpiti, e i due programmi coinvolti (Avici e Tria) lo hanno confermato ciascuno con un 10% aggiuntivo. Se avevi un saldo su una carta in programma Rain, verifica che il rimborso sia arrivato dal TUO emittente — è lì che passa, non da Rain direttamente — e in caso contrario documenta il prelievo e apri un ticket. La falla nei contratti Solana è chiusa e i programmi aggiornati. Diffida di DM o siti che promettono rimborsi: quelli veri sono già passati dal programma carta.

Fonte: x.com ↗ verificato il 1 settembre 2026 Vedi la scheda →

28 ago Tria Card Hack / furto di fondi risolto

Prelievi non autorizzati dai saldi carta Solana via la vulnerabilità nei contratti dell'emittente Rain: 431.945 $ su 636 utenti · 432K USD

Il 28/8/2026 Tria ha segnalato prelievi non autorizzati di USDC/USDT caricati sul saldo carta Solana, «su tutte le carte in programma Rain». La causa è la vulnerabilità in una versione obsoleta dei contratti Solana dell'emittente Rain, confermata dallo stesso Rain in giornata (contratti aggiornati su tutti i programmi, falla chiusa, nessuna ulteriore attività non autorizzata osservata). Il 29/8 (ore 12:47 CEST) Tria ha pubblicato la riconciliazione: 636 utenti colpiti per 431.945 $ di saldi carta. Il wallet Tria non è mai stato interessato — è self-custodial e resta sotto controllo dell'utente — e gli asset su EVM, Aptos, Solana e altre catene tenuti nel wallet risultano intatti, così come futures ed earn: colpito solo il contratto Solana separato in cui confluisce la ricarica della carta. La sera del 29/8 (ore 20:58 CEST) Tria ha confermato che tutti gli utenti colpiti hanno RICEVUTO il rimborso integrale, più un 10% aggiuntivo a testa.

Cosa fare

Incidente chiuso: Tria conferma che tutti i colpiti hanno ricevuto il rimborso integrale più un 10% aggiuntivo. Controlla i movimenti del saldo carta e verifica che il rimborso sia arrivato; se non lo trovi, documenta il prelievo (hash, orari, screenshot) e apri un ticket citando il comunicato del 29/8. Wallet, futures, earn e asset EVM non erano stati toccati. Unica cautela residua: nessun rimborso legittimo ti chiederà mai di collegare il wallet a un sito o di firmare una transazione.

Fonte: x.com ↗ verificato il 1 settembre 2026 Vedi la scheda →

27 ago Ledger Class action aperto

Nuova class action negli Stati Uniti: chiesti almeno 500 milioni di dollari per i data breach

Il 27/8/2026 un cliente, Douglas Kim, ha depositato davanti a un tribunale federale di New York una proposta di class action nazionale contro Ledger SAS, chiedendo almeno 500 milioni di dollari di danni. L’atto non descrive una violazione nuova: contesta la gestione di quelle già note — la fuga di dati del 2020 (oltre 270.000 clienti, con nomi, indirizzi e telefoni) e l’attacco del dicembre 2023 alla libreria Ledger Connect Kit — sostenendo che l’azienda avrebbe minimizzato gli episodi, tardato ad avvisare i clienti e omesso di rafforzare le difese. Il ricorrente afferma di essersi visto sottrarre criptoattivi per 1.948.074 dollari dopo essere stato contattato, nel febbraio 2025, da truffatori che si spacciavano per Ledger usando i suoi dati. ⚠️ Sono accuse contenute in un atto di parte, non fatti accertati da un giudice, e il procedimento è appena iniziato. Ledger non ha commentato pubblicamente e non risulta alcuna presa di posizione ufficiale. La fuga di dati del 2026 tramite il partner Global-e non rientra in questa causa.

Cosa fare

Non devi fare nulla per la causa e nessuno può chiederti soldi per «gestire il tuo risarcimento»: chi lo fa ti sta truffando. Ciò che resta concreto è il motivo per cui la causa esiste — i dati dei clienti Ledger usciti nel 2020 e nel 2026 circolano ancora e vengono usati per fingersi assistenza Ledger. Tratta come sospetto qualunque contatto che citi il tuo dispositivo (email, SMS, telefonata, perfino lettera cartacea): Ledger non chiede MAI le 24 parole di recupero, per nessun motivo e su nessun canale. Non digitarle mai su un sito, in un modulo o su un computer; aggiorna firmware e app solo dall’app Ledger ufficiale. Se le hai già inserite altrove, sposta subito i fondi su un wallet nuovo generato da zero.

Fonte: crypto.news ↗ verificato il 4 settembre 2026 Vedi la scheda →

27 ago Moonwell Card Hack / furto di fondi aperto

Manipolazione dell'oracolo sul mercato MAMO (Base): 8,7 M$ sottratti al protocollo di lending, nuovi prestiti congelati su tutti i Core Market · 9 Mln USD

Il 27/8/2026 un attaccante ha manipolato il prezzo del token illiquido MAMO usato come collaterale sul mercato Moonwell su Base. Secondo il post-mortem ufficiale pubblicato sul forum di governance (report Anthias, cutoff blocco Base 50.524.962, 27/8 ore 14:01 UTC): con 1,947 M$ di USDC iniziali ha trasferito 53,4 M di MAMO direttamente al contratto mMAMO gonfiando il tasso di cambio ~3,68x senza superare i supply cap, poi ha spinto il prezzo dell'oracolo da 0,0106 $ a 0,43 $ comprando MAMO su mercati sottili; ha quindi preso a prestito 11.028.762 $ fra cbBTC, WETH, USDC e wstETH, esfiltrando 8,728 M$ in DAI su Ethereum (guadagno netto stimato 6,785 M$). Non è stata violata la crittografia né il codice dei contratti: è un attacco economico all'oracolo. I liquidatori hanno recuperato quasi tutto il collaterale mMAMO (735,6 M di token), ma restano circa 9,1 M$ di debito residuo a carico del protocollo. Come misura d'emergenza Moonwell ha portato a 1 wei i borrow cap di TUTTI i Core Market su Base (nuovi prestiti di fatto congelati) e i supply cap di MAMO e WELL. Il 28/8 il team ha ingaggiato la società di sicurezza ZeroShadow per il recupero. Per la carta il punto è questo: la funzione di spesa a credito si appoggia proprio ai prestiti sul mercato Moonwell di Base, congelati finché i cap restano a 1 wei. Più fonti indipendenti segnalano che è il terzo incidente di sicurezza del protocollo in 11 mesi.

Cosa fare

Non contare sulla funzione di spesa a credito della carta finché i borrow cap su Base restano a 1 wei: al momento non è possibile aprire nuovi prestiti. Se hai asset depositati su Moonwell come collaterale e non vuoi restare esposto ai circa 9,1 M$ di debito residuo ancora a carico del protocollo, valuta di ritirarli; per spendere, tieni sulla carta solo il saldo USDC che ti serve. Il recupero è affidato a una società terza e non ci sono ancora annunci di rimborso: segui solo il forum di governance e i canali ufficiali. Dopo un exploit girano sempre siti-clone e falsi «rimborsi» che chiedono di collegare il wallet — nessun rimborso legittimo lo chiede mai.

Fonte: forum.moonwell.fi ↗ verificato il 29 agosto 2026 Vedi la scheda →

16 ago SafePal Fuga di dati aperto

Violazione dati: esposti gli ordini di 39.798 clienti, dati messi in vendita

Il 16/8/2026 SafePal ha comunicato una violazione dei dati causata da una falla di autorizzazione in un plug-in di terze parti per il tracciamento degli ordini sul proprio e-commerce: manipolando il numero d'ordine un utente poteva vedere i dati d'ordine altrui (un errore di configurazione ha inoltre impedito la pulizia dei dati fra settembre 2025 e aprile 2026). Sono stati esposti nomi, email, indirizzi di spedizione, numeri di telefono e informazioni d'acquisto dei clienti che hanno ordinato fra il 2/3/2025 e l'11/4/2026. NON sono stati esposti seed phrase, chiavi private, password, dati bancari, numeri di carta, documenti d'identità né fondi: la sicurezza del wallet (non-custodial) è rimasta intatta. SafePal ha corretto la falla, ridotto la conservazione dei dati a 90 giorni, ingaggiato una società di sicurezza indipendente, rimosso oltre 30 siti fraudolenti/link di phishing e avvisato i clienti via email. ⚠️ I dati sottratti sono offerti in vendita su un forum del cybercrime: il rischio di phishing mirato è concreto.

Cosa fare

I fondi non sono a rischio diretto: sono stati esposti dati d'ordine (nome, indirizzo, contatti), non seed o chiavi. Aspettati phishing mirato: diffida di email, SMS o «corrieri» che citano il tuo ordine SafePal e non inserire mai la seed phrase su un sito o in un modulo, per nessun motivo.

Fonte: bleepingcomputer.com ↗ verificato il 17 agosto 2026 Vedi la scheda →

6 ago Trezor Fuga di dati aperto

Fuga di dati clienti dal fornitore logistico ShipMonk: circa 80.700 acquirenti esposti, indirizzi di spedizione compresi

ShipMonk, il fornitore logistico che spedisce gli ordini Trezor, ha subito un'intrusione il 6 agosto 2026 attraverso una vulnerabilità della piattaforma di analytics di terze parti Metabase, e il 10 agosto ha comunicato a Trezor l'accesso non autorizzato ai sistemi che contenevano i dati d'ordine. Il 13 agosto Trezor ha reso pubblico l'incidente: 13.689 clienti coinvolti, di cui 11.742 con nome completo, email, telefono e indirizzo di spedizione esposti e 1.947 con esposizione parziale (nome, città, email), su ordini consegnati fra il 10 maggio e l'8 agosto 2026 in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Il 2 settembre ShipMonk ha informato Trezor che il materiale sottratto conteneva anche i dati d'ordine di una collaborazione precedente fra novembre 2019 e agosto 2021, che secondo il contratto e la politica di conservazione avrebbero dovuto essere cancellati: il 4 settembre Trezor ha aggiornato la comunicazione aggiungendo circa 67.000 clienti statunitensi con esposizione completa (nome, email, telefono, indirizzo di spedizione, numero d'ordine), per un totale di circa 80.700 persone. Trezor dichiara che i propri sistemi, i dispositivi, le chiavi private e i backup del wallet non sono stati toccati, e afferma di aver ricevuto più volte da ShipMonk conferma scritta della cancellazione dei dati storici, cancellazione che non era avvenuta. Il rischio non è sui fondi in sé ma sulle persone: l'elenco associa nome, telefono e indirizzo di casa a chi possiede un portafoglio hardware, ed è la stessa materia prima che dopo la violazione Ledger del 2020 ha alimentato per anni phishing mirato, finte lettere e timori per la sicurezza fisica.

Cosa fare

I dati sono usciti e non si possono richiamare: quello che puoi controllare è cosa succede dopo. Aspettati email, SMS, telefonate e anche lettere cartacee che useranno il tuo nome vero e il tuo indirizzo vero per sembrare autentiche. Regola unica e non negoziabile: le 12 o 24 parole di recupero non si digitano mai da nessuna parte, né su un sito, né in un'app, né dettandole a chi dice di essere l'assistenza — Trezor non le chiede mai, per nessun motivo. Non collegare e non usare un dispositivo arrivato per posta senza che tu l'abbia ordinato, nemmeno se la lettera parla di sostituzione o di aggiornamento di sicurezza: è la truffa già vista dopo la fuga di dati Ledger. Aggiorna solo dal Trezor Suite ufficiale, mai da un link ricevuto. Se compare una richiesta di riscatto o una minaccia che cita il tuo indirizzo, non rispondere e conserva tutto: documenta, apri un ticket al supporto ufficiale Trezor e, se la minaccia è alla persona, sporgi denuncia. Se hai ordinato dall'Italia fra maggio e agosto 2026, o dagli Stati Uniti fra il 2019 e il 2021, considerati potenzialmente nell'elenco anche se non hai ricevuto l'email di avviso.

Fonte: trezor.io ↗ verificato il 4 settembre 2026 Vedi la scheda →

30 lug Coldcard Hack / furto di fondi aperto

Furto di ~1.789 BTC (~115 M$) da 8.865 indirizzi per un difetto di entropia nella generazione del seed · 115 Mln USD

Dal firmware 4.0.0 (marzo 2021) la generazione del seed saltava il generatore hardware di casualità e ricadeva su un PRNG software prevedibile: entropia effettiva ~40 bit su Mk2/Mk3 (fw 4.0.1–4.1.9), ~72 bit su Mk4/Mk5/Q. Chiavi derivabili da remoto, senza accesso fisico al dispositivo. Advisory Coinkite il 30/7/2026 (ultimo aggiornamento 1/8). Prima ondata il 30/7 con ~1.082 BTC (~70 M$) svuotati da ~1.196 indirizzi in ~41 minuti; sono seguite altre ondate, per un totale di quattro. Le cifre sono cresciute a ogni verifica: ~89 M$ da ~4.585 indirizzi al 2/8, poi ~1.816 BTC (~116 M$) da oltre 5.200 indirizzi secondo l'analisi TRM Labs del 5/8, che avverte di trattarle come preliminari (fondi ancora in movimento, vittime che possono emergere per mesi); alcune testate hanno riportato stime più alte, fino a ~130 M$. È il più grande furto da hardware wallet del 2026. Firmware corretti entro ~24h (Mk3 4.2.0+, Mk4/Mk5 5.6.0+, Q 1.5.0Q+, Edge 6.6.0X/QX+), ma l'aggiornamento NON ripara i seed esistenti: chi ha generato il seed sul dispositivo deve crearne uno nuovo e migrare i fondi. Non coinvolti i seed da ≥50 lanci di dado o importati; la passphrase BIP-39 riduce il rischio. TAPSIGNER, OPENDIME e SATSCARD non coinvolti. Nessun recupero dei fondi rubati e nessun piano di rimborso annunciato. Al 3/9/2026 il conteggio consolidato di Galaxy Research attribuisce alla falla 1.789,28 BTC (~114,7 M$ al valore del momento del furto) su 8.865 indirizzi: leggermente meno BTC ma quasi il doppio degli indirizzi rispetto alla stima TRM del 5/8, segno che il perimetro delle vittime si è allargato. Il 2/9/2026 l'attaccante della terza ondata ha mosso i fondi per la prima volta, convertendo circa il 10% del bottino di quell'ondata in ETH tramite il DEX cross-chain THORChain (annuncio di Alex Thorn, Galaxy Research, l'1:46 del 3/9): sono i primi bitcoin a lasciare gli indirizzi originali di tutte e tre le ondate censite da Galaxy. Il restante ~90% della terza ondata è ancora fermo, gli swap sono andati in parte in errore e sono stati ritentati, e Galaxy ha condiviso il nuovo indirizzo Ethereum con le autorità e con gli operatori che monitorano i fondi rubati. Il 31/8/2026 alle 20:57 UTC è stato inoltre svuotato un wallet-esca del progetto pubblico di monitoraggio cktripwire.com con 12,9 bit di entropia aggiunta, pari a 5 lanci di dado (TXID 276e8f16732cbcdc02b0ca2e8fa9427ae7fbce053f3c784142c9fe2ed30ed887, verificabile onchain): è una misura diretta di quanto lontano arriva la forzatura delle chiavi da parte dell'attaccante e conferma che qualche lancio di dado non basta; alla stessa data risultano intatte le esche con 16 bit o più di entropia aggiunta.

Cosa fare

Se il seed è stato generato sul dispositivo con firmware 4.x (soprattutto Mk2/Mk3): considera i fondi a rischio e spostali su un wallet con seed generato altrove, seguendo l'advisory ufficiale Coinkite. Aggiornare il firmware non basta: un seed debole resta debole finché non migri i fondi. Se al seed hai aggiunto solo qualche lancio di dado non considerarti al sicuro — il 31/8 è caduto un wallet-esca con 12,9 bit di entropia aggiunta, cioè 5 lanci: vale la soglia dell'advisory (≥50 lanci) o un seed generato altrove. Da inizio settembre i bitcoin rubati hanno cominciato a muoversi e a essere convertiti in ETH su altre catene: il recupero è ancora meno probabile e aumenteranno i finti «servizi di recupero», i falsi risarcimenti e i DM che promettono di riavere i fondi — nessuno può restituirteli, non pagare anticipi e non digitare mai il seed su un sito o un'app. Se sei stato colpito, documenta gli indirizzi e le transazioni e segnala alle autorità: gli indirizzi dell'attaccante sono monitorati dagli exchange.

Fonte: blog.coinkite.com ↗ verificato il 3 settembre 2026 Vedi la scheda →

Le ultime 8 di 50 voci censite su 758 servizi — ogni voce con fonte e data, mai dai soli comunicati. Come verifichiamo →

Quanto spendi al mese, più o meno? 900 €

Sul tuo profilo, le più convenienti

Kraken Krak Card Tier S · cashback 2% 0 € /anno Vedi i numeri Apri ↗

Altitude Card Tier B · cashback 2% 0 € /anno Vedi i numeri Apri ↗

OKX Card Tier A · cashback 5% 0 € * /anno Vedi i numeri Apri ↗

Le prime 3 su 159 carte confrontate. Il cashback conta solo se il piano lo paga in denaro, senza tetto e senza condizioni: quello che richiede saldo minimo, staking o abbonamento non lo contiamo come incassato. L’asterisco segnala una voce di costo non dichiarata. Vedile tutte →

Affina il calcolo → estero, prelievi, regione

Stima su 20% di spesa all'estero e 2 prelievi da 200 € al mese, area UE/SEE.

Le classifiche, coi numeri che restano

Ordinate dal voto editoriale, non da chi paga. Accanto a ogni numero pubblicizzato trovi quello che resta dopo aver letto il documento, con la data del controllo.

Migliori conti deposito per rendimento netto reale

Tasso lordo → quello che ti resta

Tyche Bank — ContoTe Conti Deposito 3,5% 2,59% verificato il 27 lug 2026
Cherry Bank — Cherry Vincolato Conti Deposito 3,5% 2,39% verificato il 27 lug 2026
IBL Banca — Time Deposit Conti Deposito 3,5% 2,39% verificato il 27 lug 2026

Tutte le 12 →

Migliori carte crypto per cashback

Cashback pubblicizzato → quello che incassi

The Bitcoin Company Card Carte Crypto Privacy 25% 24,5% verificato il 11 lug 2026
Bitsa Card Carte Crypto Privacy 15% 14,4% verificato il 10 lug 2026
Bybit Card APAC Carte Crypto Exchange 10% 9,1% verificato il 10 lug 2026