Domande frequenti

La nostra pipeline elabora migliaia di domini ogni giorno attraverso 4 fasi:

Fase 1: Individuazione preventiva e acquisizione dei dati

Utilizziamo una rete distribuita di Oltre 30 parser proprietari per individuare i domini dannosi nella fase più precoce:

• Registri di Certificate Transparency (CT) — monitoraggio in tempo reale dei nuovi certificati SSL per individuare i domini di phishing entro pochi minuti dalla registrazione
• Monitoraggio del DNS — monitoraggio delle nuove registrazioni di domini e delle configurazioni sospette
• Rilevamento del malvertising — monitoraggio continuo di Google Ads, dei risultati di ricerca ottimizzati per il SEO e delle campagne di tendenza sui social media su Twitter/X, YouTube e Telegram
• Typosquatting — sfruttando dnstwist ed euristiche personalizzate per individuare domini simili che prendono di mira marchi affermati
• Intelligenza collettiva — acquisizione in tempo reale tramite il nostro bot di Telegram, e-mail e feed dei partner
• Aggregazione di feed relativi al phishing — integrazione con oltre 13 fonti della comunità, tra cui OpenPhish, PhishTank e URLhaus

Fase 2: Analisi e valutazione

• 95 motori AV tramite VirusTotal
• Arricchimento dei dati WHOIS/DNS (registrar, server dei nomi, geolocalizzazione IP, paese)
• Analisi dei certificati SSL (emittente, SAN, date di validità)
• Acquisizione di screenshot e corrispondenza dei contenuti visivi
• Identificazione delle impronte digitali dei kit di phishing
• Calcolo del punteggio di rischio (0-100) sulla base di oltre 12 segnali ponderati

Fase 3: Rendicontazione globale dei fornitori

Una volta confermata, la inviamo a Oltre 50 venditori contemporaneamente:

Inoltre, notifiche formali di abuso inviate ai registrar di domini e ai fornitori di servizi di hosting, corredate da documentazione probatoria.

Fase 4: Trasparenza pubblica

• Commit in tempo reale al Repository Destroylist
• Pannello di controllo in tempo reale all'indirizzo phishdestroy.io/live
• Avvisi automatici su Twitter, Telegram, e Mastodon
• Rilevamento condizionale: avvisi di follow-up se la minaccia rimane attiva oltre le 24 ore

Ogni dominio riceve un punteggio di rischio da 0 a 100 in base a segnali ponderati:

Livelli di gravità:

70-100 CRITICO40-69 ALTO20-39 MEDIO1-19 BASSO

Inoltre, i nostri report interni sui domini (all'indirizzo phishdestroy.io/dominio) utilizzano un sistema di valutazione avanzato e indipendente che integra i rilevamenti di VirusTotal, l’anzianità del WHOIS, i modelli SSL, l’analisi dei contenuti, il grado di imitazione del marchio e i tassi storici di abuso dei registrar, per un totale di oltre 12 indicatori.

Solo la maggior parte delle liste di blocco elenco domini. Ci occupiamo di intelligence sulle minacce end-to-end:

• Rilevamento preventivo — intercettiamo i domini pochi minuti dopo la registrazione, prima che raggiungano le vittime
• Indagine approfondita — monitoriamo le transazioni crittografiche sulla blockchain, mappiamo le infrastrutture, decompiliamo i kit di phishing e colleghiamo le campagne agli autori
• Accesso "a livello di root" — abbiamo ottenuto l’accesso ai pannelli di drenaggio, al codice sorgente del kit di phishing e ai log delle chat degli operatori, il che ci ha fornito una visione senza precedenti delle TTP degli autori degli attacchi
• Rimozione attiva — non ci limitiamo a segnalare i domini; presentiamo fascicoli di prove ai registrar, agli host e a oltre 50 fornitori di software antivirus e monitoriamo ogni dominio fino a quando non viene disattivato
• Verifica dei contenuti — i nostri feed con verifica dei contenuti vanno oltre il DNS: effettuiamo vere e proprie richieste HTTP per verificare che la pagina di phishing sia attiva, individuando eventuali tentativi di cloaking
• Responsabilità del responsabile del registro — rendiamo pubblici i tassi di abuso dei registrar e i tempi di risposta, garantendo così la responsabilità dei fornitori negligenti

Per "verifica dei contenuti" intendiamo che non ci limitiamo a controllare se un dominio è raggiungibile (DNS), ma visitiamo effettivamente la pagina per verificare se sono presenti contenuti di phishing.

Questo è importante perché i truffatori ricorrono al cloaking: mostrano pagine false o vuote agli scanner automatici, mentre alle vittime umane viene mostrata la vera pagina di phishing. Un dominio che NON compare nel nostro elenco di domini verificati in base al contenuto non non significa che sia sicuro — potrebbe semplicemente essere camuffato.

I nostri feed con contenuti verificati:

• Contenuto principale — domini selezionati con contenuti di phishing attivi e verificati (aggiornati ogni 12 ore)
• Contenuti della comunità — feed aggregati con contenuti verificati (aggiornati ogni 24 ore)

Per una protezione ottimale, utilizza il nostro Primaria - Tutti oppure Comunità - Generale feed, che includono tutti i domini indipendentemente dallo stato di verifica dei contenuti.

No. L'individuazione è automatizzata — i sistemi di classificazione segnalano i domini sospetti nel giro di pochi minuti — ma nessuna segnalazione viene inviata automaticamente al registrar o all'host. Ogni richiesta di rimozione che inviamo è il risultato di una valutazione umana, supportata da prove concrete, basata sulle segnalazioni delle vittime e sulle nostre indagini.

Ciò che un registrar riceve effettivamente da PhishDestroy non è una semplice notifica automatica generica. Si tratta invece di un’e-mail specifica che illustra il motivo concreto, i fatti a sostegno, gli screenshot e la documentazione. Nei casi ricorrenti o che richiedono un intervento più approfondito, aggiungiamo una spiegazione precisa di ciò che non va ancora, oltre a ulteriori prove: rilevamenti di VirusTotal, corrispondenze nei database di intelligence sulle minacce e indicatori correlati.

Gli unici messaggi automatici in questo scambio sono le conferme automatiche inviate dagli stessi registrar. Da parte nostra si tratta di una constatazione comprovata e di una richiesta formale di esaminare il dominio e intervenire — non di spam automatico.

Il nostro tasso di falsi positivi è inferiore a 0.01%. Ogni rilevamento automatico viene sottoposto a diversi livelli di verifica prima che venga generato un rapporto. Garantiamo:

• Lista dei siti consentiti — un elenco, aggiornato manualmente, di domini noti come affidabili che non vengono mai segnalati
• Ricorsi entro 48 ore — ogni falso positivo viene esaminato e risolto rapidamente
• Perfezionamento continuo del classificatore — monitoriamo l'esito di ogni ricorso e aggiorniamo la logica di rilevamento
• Validazione incrociata su più fonti — i domini devono generare più segnali prima di essere confermati

Monitoriamo tutte le principali famiglie di programmi che svuotano i portafogli e tutti i tipi di kit di phishing:

• Abuso di Wallet Connect — Falsi messaggi di WalletConnect che sottraggono le autorizzazioni
• Inferno Drainer — uno dei più prolifici "drainer" multi-chain
• Angel Drainer — sistema di drenaggio avanzato con supporto NFT
• Sgocciolatoio rosa — combinazione di ingegneria sociale e drain
• Phishing relativo a permessi/autorizzazioni — Vulnerabilità relative all’approvazione dei token ERC-20 (Permit2)
• Furto della frase di seed — moduli fasulli con la dicitura “verifica il portafoglio” o “sincronizza il portafoglio”
• Truffe relative all'antiriciclaggio (AML) e alla verifica dell'identità dei clienti (KYC) — pagine fasulle di verifica della conformità
• Truffe legate agli airdrop — pagine che fingono di offrire token
• Truffe nel settore degli investimenti — piattaforme di trading fasulle, schemi di Ponzi
• Solana Drainer — Kit per lo svuotamento dei portafogli specifici per Solana

Sfoglia il nostro database per tipo di truffa, metodo di truffa o marchio preso di mira.

Il API PhishDestroy Threat è un API gratuita e aperta fornendo una valutazione in tempo reale del rischio associato ai domini in tutto il Oltre 834.000 minacce. Non è richiesta alcuna chiave API.

Criteri di valutazione:

Esempio:

curl "https://api.destroy.tools/v1/check?domain=suspicious-site.xyz"

La risposta comprende: threat (booleano), risk_score (0-100), severity (critico/alto/medio/basso), lists (quali feed contengono il dominio), e last_seen data e ora.

Offriamo 7 flussi di dati distinti tramite il Repository Destroylist:

Consigliato: Utilizzo list.json oppure active_domains.json per la produzione. Utilizzare blocklist.json per ottenere la massima copertura.

Tutti i feed sono disponibili in JSON e TXT formato. Sono disponibili separatamente anche elenchi di domini di primo livello (senza sottodomini, esclusi i provider di hosting).

Ogni feed è disponibile in 7 formati per un'integrazione immediata:

Tutti i formati sono disponibili su: github.com/phishdestroy/destroylist/tree/main/rootlist/formats/

Python:

import requests

r = requests.get(f"https://api.destroy.tools/v1/check?domain={domain}")
data = r.json()
if data["threat"]:
    print(f"BLOCKED: {data['severity']} (score: {data['risk_score']})")

JavaScript:

const r = await fetch(`https://api.destroy.tools/v1/check?domain=${domain}`);
const data = await r.json();
if (data.threat) console.warn("PHISHING:", data.severity, data.risk_score);

Verifica in blocco (fino a 500 domini):

curl -X POST "https://api.destroy.tools/v1/check/bulk" \
  -H "Content-Type: application/json" \
  -d '{"domains":["site1.com","site2.xyz","site3.top"]}'

Semplice verifica della lista di blocco (Bash):

curl -s https://raw.githubusercontent.com/phishdestroy/destroylist/main/list.txt \
  | grep -q "suspicious-domain.com" && echo "BLOCKED"

Elenchi di root contengono solo domini di primo livello — nessun sottodominio — e sono esclusi i provider di hosting (Vercel, Pages.dev, Netlify, ecc.). Ciò li rende ideali per:

• Regole del firewall — bloccare interi domini, non solo sottodomini specifici
• Blocco DNS — sicuro per i resolver DNS, senza il rischio di bloccare piattaforme di hosting legittime
• Analisi del registro — dati puliti per il calcolo dei tassi di abuso

Sono disponibili tre varianti:

• All Roots — tutti i domini di primo livello confermati
• Solo in diretta — Root attive verificate tramite DNS
• Solo servizi — ospitare separatamente i sottodomini della piattaforma (Vercel, Pages.dev, Netlify, ecc.)

Ciascuno rapporto sul dominio è un dossier informativo completo che contiene:

• Punteggio di rischio — Indice composito di minaccia da 0 a 100 con classificazione in base alla gravità
• Risultati di VirusTotal — rilevamenti effettuati da 95 motori antivirus, con ripartizione per fornitore
• Screenshot — istantanea visiva acquisita al momento della scansione (oltre 75.000 screenshot archiviati localmente)
• Dati WHOIS — gestore del registro, data di creazione, informazioni sul registrante, server dei nomi
• Record DNS — A, MX, NS, TXT con geolocalizzazione IP e bandiere dei paesi
• Certificato SSL — emittente, validità, nomi alternativi del soggetto (SAN)
• Stato della lista nera — presenza in oltre 11 delle principali liste di blocco relative alla sicurezza
• Tipo di truffa — truffe che svuotano il portafoglio, furto della frase di seed, truffe legate agli airdrop, truffe sugli investimenti, ecc.
• Marchi di riferimento — quale marchio legittimo è oggetto di contraffazione (oltre 350 marchi monitorati)
• Domini correlati — altri domini che condividono infrastrutture, favicon o kit di phishing
• Cloudflare Radar — Stato della classificazione dei domini
• Analisi di URLQuery — analisi di sicurezza supplementare

Possibili motivi:

• Il tuo dominio era già compromesso e utilizzato per il phishing a tua insaputa
• Il tuo dominio condivide l'infrastruttura (IP, server dei nomi) con domini noti per attività di phishing
• Un classificatore automatico ha segnalato un falso positivo — ciò si verifica in meno dello 0,01% dei casi
• Qualcuno ha segnalato il tuo dominio tramite i canali della community

Importante: PhishDestroy non blocca direttamente i domini. Segnaliamo i casi ai produttori di antivirus e ai registrar, che decidono autonomamente se procedere al blocco. Se il tuo dominio è stato segnalato erroneamente, presentare ricorso — rispondiamo entro 48 ore e aggiungiamo i domini autorizzati alla nostra lista di autorizzazioni permanente.

Due modalità di ricorso:

1. Modulo di ricorso (più veloce) — invia il tuo dominio con una prova della sua legittimità
2. Issue su GitHub — apri una segnalazione allegando le prove

Procedura:

• Esaminiamo all'interno di 48 ore (per lo più in giornata)
• Se l'operazione viene approvata, il dominio viene aggiunto al nostro elenco permanente lista dei permessi
• La lista dei permessi è pubblica: allowlist.json
• Le modifiche vengono immediatamente propagate alla nostra API e al nostro database

L'intero processo è completamente gratuito. Non applichiamo mai costi per i ricorsi o le rimozioni dall'elenco: non l'abbiamo mai fatto e non lo faremo mai.

Abbiamo ricostruito l'intero processo di gestione dei reclami e dei falsi positivi. Ora è molto più veloce, più affidabile e in gran parte automatizzato: un dominio attendibile (classificato nella classifica mondiale di Tranco) con rilevamenti di corrente pari a zero è stato rimosso dalla quotazione automaticamente, nel giro di pochi minuti per presentare ricorso — senza dover attendere l'intervento di un operatore. Tutto il resto viene esaminato dal team entro il nostro SLA di 48 ore.

Il nostro tasso reale di falsi positivi è inferiore allo 0,01%. Quando commettiamo un errore, lo correggiamo rapidamente e in modo trasparente: non abbiamo paura di ammettere i nostri errori.

Ci impegniamo a garantire trasparenza e verificabilità. Ogni aggiunta e ogni rimozione è pubblica e verificabile nel nostro repository aperto, github.com/PhishDestroy/destroylist — La cronologia completa delle inserzioni e delle rimozioni è visibile a chiunque. Su richiesta, possiamo inoltre fornire informazioni sui tempi di elaborazione, l'elenco dei ricorsi respinti con le relative motivazioni e le prove a sostegno di ogni inserzione.

La cancellazione dall'elenco è sempre gratuita. Chiunque chieda denaro per rimuovere il tuo nome da PhishDestroy sta mettendo in atto una truffa.

Niente. Zero. Gratis. Sempre.

Qualsiasi terza parte che affermi di poter rimuovere il tuo dominio da PhishDestroy in cambio di denaro sta conducendo un’attività truffa. Non disponiamo di alcun programma a pagamento per la rimozione dall'elenco e non ne avremo mai uno. Segnalateci tali servizi.

PhishDestroy è solo una delle tante fonti. Anche dopo aver ripulito il tuo dominio, altri sistemi potrebbero comunque segnalarlo:

• Google Safe Browsing — invia a safebrowsing.google.com
• Produttori di antivirus — ciascuno gestisce liste di blocco indipendenti; contattare il canale di segnalazione delle vulnerabilità FP di ciascun fornitore
• Avvisi del browser — potrebbe conservare in cache i dati precedenti per 24-48 ore

Verifica il tuo dominio su VirusTotal per verificare quali fornitori specifici lo segnalano, quindi contattare ciascuno di essi singolarmente.

Quando presentiamo segnalazioni di abuso, ci atteniamo agli standard dell'ICANN:

• Segnalazioni formali di abusi ai registrar tramite i contatti preposti alla gestione degli abusi nel sistema WHOIS
• Fascicoli completi di prove — risultati delle scansioni, schermate, report in formato PDF con metadati
• L'ICANN richiede i registrar devono esaminare le segnalazioni di abuso entro 24 ore
• Rilevamento condizionale — se un dominio rimane attivo dopo 24 ore, inviamo avvisi di follow-up

Quando un dominio riceve tra le 10 e le 30 o più segnalazioni di abuso e il registrar continua a ignorarle per mesi, rendiamo pubblica la notizia. Il registrar non è più un semplice osservatore passivo, ma fornisce di fatto l’infrastruttura necessaria per attività illegali. Il nostro database pubblico promuove la responsabilità.

Il tempo è fondamentale. Agisci subito:

1. REVOCA SUBITO le autorizzazioni relative ai token — vai a revoke.cash revocare immediatamente tutte le autorizzazioni relative ai portafogli ancora in sospeso. In questo modo si blocca il prelievo in corso.
2. Contatta SEAL 911 — risposta agli incidenti crittografici di emergenza da parte di professionisti della sicurezza. Visita phishdestroy.io/azione-critica
3. Trasferire i fondi rimanenti — trasferire tutti gli asset dal portafoglio compromesso a un nuovo portafoglio non compromesso
4. Denuncia alla polizia — Sporgi denuncia per un reato informatico presso la polizia locale. Fatti fornire il numero di protocollo.
5. Segnalare pubblicamente — file su Chainabuse per mettere in guardia gli altri e lasciare una traccia documentale
6. Conservare TUTTE le prove — indirizzi di portafogli, ID delle transazioni, screenshot, cronologie delle chat, e-mail, l'URL di phishing

NON contattate i “servizi di recupero” che si trovano online. Oltre il 95% di essi sono truffe secondarie che prendono di mira le vittime.

A volte, ma solo se agisci in fretta:

• Approvazioni di token non ancora eseguite: Se hai firmato solo un'approvazione dannosa, revocala all'indirizzo revoke.cash impedisce immediatamente ulteriori perdite
• Prelievi da CEX: Se l'autore dell'attacco trasferisce fondi su Binance, Coinbase, ecc., le forze dell'ordine possono congelare i conti, ma hanno bisogno della tua denuncia alla polizia
• Pause del ponte: Alcuni ponti cross-chain hanno sospeso le transazioni non appena sono state segnalate frodi

Un po' di realismo: La maggior parte dei furti di criptovalute sulla blockchain è irreversibile. La prevenzione è la migliore difesa: usa portafogli hardware, verifica gli URL e non condividere mai le frasi seed.

Segnali di allarme:

• Discrepanza nell'URL — "metamask-login.com" anziché "metamask.io"
• Formulazione relativa all'urgenza — «Agisci subito o perderai l'accesso», «Il tuo portafoglio verrà bloccato»
• Richieste relative alla frase di seed — Nessun servizio legittimo ti chiederà MAI la tua frase di seed
• Finestre pop-up inaspettate del portafoglio — Richieste di WalletConnect o MetaMask che non hai avviato tu
• Troppo bello per essere vero — airdrop gratuiti, rendimenti garantiti, "ritira il tuo premio"
• Pubblicità sui social media — Il phishing fa ampio ricorso agli annunci a pagamento su Twitter, Google e Telegram
• Truffe tramite messaggi diretti/risposte — il “servizio clienti” che ti contatta per primo

Protezione: Controlla sempre i domini su phishdestroy.io/dominio oppure utilizza il nostro Bot di Telegram prima di collegare il tuo portafoglio. Leggi la nostra guida completa: Nozioni fondamentali sulla sicurezza delle criptovalute

Quasi mai. Oltre il 95% dei "servizi di recupero" sono truffe secondarie rivolgendosi a persone che hanno già subito perdite finanziarie.

Segnali di allarme:

• Garantiscono il recupero (cosa impossibile da garantire)
• Richiedono il pagamento anticipato
• Ti hanno trovato grazie ai commenti sui social media in cui parlavi di essere stato truffato
• Affermano di essere “hacker etici” in grado di “annullare le transazioni”
• Ti chiedono la tua frase di recupero o l'accesso al tuo portafoglio

Aiuti affidabili (tutti gratuiti): SEAL 911, le forze dell'ordine locali, il team di assistenza della vostra piattaforma di scambio, Chainabuse ai fini della rendicontazione pubblica.

Vai su Pi-hole Admin → Impostazioni → Elenchi di blocchi → incolla questo URL:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/hosts.txt

Salva e aggiorna gravity. L'elenco si aggiorna automaticamente in base alla pianificazione di Pi-hole.

uBlock Origin: Impostazioni → Elenchi dei filtri → Importa → incolla:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/adblock.txt

AdGuard Home: Filtri → Elenchi di blocco DNS → Aggiungi elenco di blocco → incolla lo stesso URL.

Per il resolver DNS Unbound (pfSense/OPNsense):

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/unbound.conf

Per BIND o Knot DNS (formato RPZ):

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/rpz.zone

Per Dnsmasq:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/dnsmasq.conf

Sì! Ecco come fare:

• Segnala i domini di phishing — Bot di Telegram oppure abuse@phishdestroy.io
• Integra le nostre liste di blocco — aggiungi Lista di distruzione al tuo DNS, al firewall o agli strumenti di sicurezza
• Utilizza la nostra API — creare strumenti, bot o dashboard utilizzando il API delle minacce
• Invia richieste di pull — miglioramenti agli algoritmi di rilevamento, consigli sull’integrazione, informazioni aggiornate
• Sensibilizzare l'opinione pubblica — condividi la nostra ricerca sui social media

Non accettiamo donazioni: il modo migliore per sostenerci è rendere utili i nostri dati.

I nostri dati (licenza MIT) vengono utilizzati per:

• Sicurezza di rete — regole del firewall, blocco DNS, filtraggio delle e-mail
• Automazione — Integrazione SIEM/SOC, risposta automatizzata agli incidenti
• Ricerca sulle minacce — analisi delle campagne di phishing, tendenze relative all'usurpazione dell'identità dei marchi
• Formazione in ML/AI — set di dati per l'addestramento dei modelli di rilevamento del phishing
• Analisi delle tendenze — tassi di abuso dei registrar, modelli di rischio dei TLD, evoluzione dei drainer
• Prove giuridiche — rapporti sui domini con indicazione della data e dell’ora destinati alle forze dell’ordine e alle richieste di risarcimento assicurativo

Camera storica: Oltre 500.000 domini archiviati in più di 5 anni. Contattaci contact@phishdestroy.io per l'accesso.