Dietro le quinte: come operano i truffatori nel mondo delle criptovalute
Dirottare Bing e DuckDuckGo

I due vettori di attacco

La nostra indagine ha rivelato che due operazioni parallele completamente diverse condotte contemporaneamente per portare i siti di phishing in cima ai risultati di Bing e DuckDuckGo.

Vettore A: L'attacco di iniezione nella SERP di Yahoo

Si potrebbe dire che questo sia il il più elegante dal punto di vista tecnico attacco SEO black-hat che abbiamo documentato nel 2026. Esso sfrutta una falla fondamentale nel modo in cui Bing valuta l’autorità dei link — in particolare, la sua incapacità di distinguere tra link editoriali autentici e pagine di risultati di ricerca generate dinamicamente da domini affidabili.

L'Authority Score (AS 24) ereditato da Yahoo viene trasmesso dalle pagine di ricerca mobile ai domini di phishing — Bing accetta il segnale come legittimo

Il meccanismo — Passo dopo passo

Fase 1 — Generazione dell'URL del gestore affidabile. Gli autori degli attacchi creano URL sugli endpoint di ricerca mobile di Yahoo su diversi sottodomini internazionali: no.search.yahoo.com (Norvegia), fr.search.yahoo.com (Francia), mx.search.yahoo.com (Messico), pl.search.yahoo.com (Polonia), gr.search.yahoo.com (Grecia), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (francese svizzero), co.search.yahoo.com (Colombia). Queste pagine riportano il punteggio di autorità ereditato da Yahoo: 23–24.

Fase 2 — Inserimento del link di phishing. Ogni URL contiene una query di ricerca del tutto casuale e innocua — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — ma il testo di ancoraggio recita: curvefi.co Curve Finance. Le query casuali garantiscono che i filtri antispam non rilevino alcuna corrispondenza con modelli prestabiliti.

Fase 3 — Crawling e indicizzazione forzati. Gli autori degli attacchi inducono Bingbot a eseguire la scansione di questi URL utilizzando servizi di ping di massa, l'inserimento di commenti su forum e blog e strumenti automatici per l'attivazione della scansione.

Dati SEMrush non elaborati — curvefi.co

La crudele ironia: Il sito presenta zero parole chiave organiche, zero traffico nel database di SEMrush — eppure compare nei risultati di Bing/DDG per “Curve Finance” grazie all’autorità “presa in prestito” da Yahoo.

Vettore B: La rete PBN coordinata

È qui che l’indagine assume una piega davvero allarmante. Cinque siti di phishing distinti — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at e keplr.me — hanno tutti in comune un insieme identico di fonti di backlink. Non è una coincidenza. È una singola organizzazione criminale condurre più campagne di phishing da un'unica infrastruttura.

Un operatore, 9 donatori PBN, 5 bersagli di phishing: la probabilità che si tratti di una coincidenza è pari a circa lo 0,00001%

The Smoking Gun — Infrastruttura condivisa

Profili dei domini utilizzati per il phishing

La "fabbrica di articoli" basata sull'intelligenza artificiale

La variante aster-dex.at utilizza un approccio ibrido, combinando l’iniezione di Yahoo con contenuti di blog generati dall’intelligenza artificiale e pubblicati su siti compromessi o creati appositamente in Vietnam, Italia, Indonesia e Svizzera.

Articoli generati dall'intelligenza artificiale su siti compromessi: titoli identici, domini diversi, tutti con link allo stesso sito di phishing

Gli articoli del blog hanno tutti titoli quasi identici: “Perché gli swap di token e i pool di liquidità mettono ancora in difficoltà anche i trader DEX più esperti”, “Perché i market maker automatizzati continuano a sorprendere i trader”. Questi sono Articoli generati dall'intelligenza artificiale inseriti su siti con AS 21–36, tutti collegati a aster-dex.at.

Infiltrazione di spam nei commenti

keplr.me adotta un approccio completamente diverso: puro spam nei commenti su siti di grande autorevolezza ma non attinenti all’argomento. Nomi utente falsi come “ZackaryThymn”, “Fritzkah” e “Jamesboach” inseriscono link a portafogli crittografici in siti dedicati all’insegnamento della filosofia (filozofija.edu.rs, AS 45), piattaforme per il coinvolgimento dei dipendenti (bavave.com, AS 63), e festival artistici (lea-festival.com, AS 50).

Siti legittimi che ospitano inconsapevolmente link di phishing — nascosti tra commenti degli utenti dall’aspetto normale

Il fondo del barile: spam generato da strumenti automatizzati

bscscan.cfd ricorre al metodo più rozzo possibile: pacchetti a pagamento di backlink in blocco provenienti da siti che si chiamano letteralmente rankongoogle.agency e linksjump.click. Tutte le fonti hanno AS = 0. Il TLD .cfd è un noto indicatore di spam. Eppure su Bing funziona, almeno in parte: il volume di link di bassa qualità può influenzare il posizionamento anche su domini nuovissimi che non presentano precedenti negativi.

“1000 backlink a 9,99 $” — gli strumenti SEO fasulli più economici funzionano ancora, almeno in parte, su Bing

Perché Bing e DuckDuckGo sono particolarmente vulnerabili

La difesa multilivello di Google contro lo spam contro il sistema di rilevamento meno maturo di Bing: il divario di cui approfittano i truffatori

Strategia di targeting per parole chiave

I profili delle parole chiave rivelano precisione chirurgica nella selezione dei termini di ricerca. Gli operatori non puntano solo sui termini principali relativi al marchio, ma anche sui typosquat (“portafoglio rabbi”, “portafoglio Rubby”, “dexscrenner”) e persino le ricerche in lingua cinese (“Borsa Aster” (al 25° posto).

Targeting multilingue: inglese, francese, cinese, vietnamita — l’operazione abbraccia diversi continenti

Contesto storico: il caso Trust Wallet / DuckDuckGo

Anche dopo che Trust Wallet ha smesso di utilizzare DDG come impostazione predefinita, la vulnerabilità di fondo persiste. Qualsiasi utente che sceglie manualmente DuckDuckGo per motivi di privacy — una fascia demografica che si sovrappone in larga misura a quella degli utenti di criptovalute — rimane ancora oggi esposta proprio a questi attacchi. Le operazioni fraudolente documentate nel presente rapporto hanno utilizzato diverse varianti di questa tecnica per diversi anni, adattandosi man mano che i motori di ricerca correggono gradualmente i singoli vettori.

Come proteggersi

• MAI collega il tuo portafoglio da un risultato di ricerca
• Aggiungi ai preferiti siti affidabili direttamente
• Utilizza DDG !bang scorciatoia: !g curve finance attiva la ricerca su Google
• Installa l'estensione di MetaMask per il rilevamento del phishing
• Verifica qualsiasi dominio su PhishDestroy prima di effettuare il collegamento

Suggerimenti per Microsoft/Bing

1. Rilevamento dinamico delle pagine: Classificare le pagine dei risultati di ricerca (Yahoo, Baidu, Google) ed eliminare l'equity dei link dai link in uscita
2. Rilevamento coordinato del PBN: Quando 9 domini rimandano a 5 siti diversi con schemi identici, segnalarlo come manipolazione
3. Livello di imitazione del marchio: Rilevare gli attacchi di sostituzione dei TLD (dexscreener.at ≈ dexscreener.com)
4. Monitoraggio dei domini .AT: Maggiore attenzione ai domini .at di nuova registrazione nelle SERP relative alle criptovalute
5. Guida rapida a DuckDuckGo: Creare un'API dedicata alla rimozione dello spam a cui DDG possa accedere direttamente

Le prove sono di dominio pubblico. I domini sono documentati. Le vittime sono reali. La soluzione è nelle mani di Microsoft.

Un operatore. 26 esche di phishing su Bing. Costo: 2 dollari per dominio.

Un operatore, 26 domini, un registrar

Abbiamo eseguito delle query RDAP su tutti i 26 domini di phishing. Ognuno di essi ha restituito lo stesso registrar: NiceNIC International Group Co., Limited. Non la maggior parte. Non la maggioranza. Tutte le 23 richieste sono state elaborate con successo — stesso registrar, con 3 errori di limitazione della frequenza prima della verifica (i modelli delle loro infrastrutture coincidono).

23 su 23 controllati. Stesso registrar. Stesso cliente. Nessuna azione per abuso.

Dati di registrazione RDAP — Prova di registrazione in blocco

La guida da 2 dollari — Passo dopo passo

Dimenticatevi delle tecniche SEO sofisticate. Dimenticatevi dei mesi dedicati alla creazione di link. Ecco la sequenza completa e collaudata che vi consentirà di ottenere il primo posto nei risultati di Bing.

Quattro passaggi, 2 dollari e Bing incorona un sito di phishing al primo posto

Fase 1: Registro dei typosquat

Fase 2: Clonare il tag del titolo ($0, 5 minuti)

L'operatore copia esattamente il <title> tag e meta description tratti dal sito web del progetto vero e proprio. Questo è il passo più importante in assoluto. La pagina in sé è un modo per prosciugare il portafoglio o per rubare la frase seed — ma <title> è ciò che Bing posiziona nei risultati di ricerca.

Fase 3: Invia al PBN nascosto (0 $, 1 minuto)

L'operatore si reca in una qualsiasi delle 15 sedi PBN (bye.fyi, atomizelink.icu, ecc.), digita il dominio in un campo denominato “Inserisci il tuo URL” e fa clic su “Accorcia”. Con un solo clic viene creata una pagina su tutti e 15 i siti contemporaneamente: questi condividono infatti un unico database.

Fase 4: Attendere (2-8 settimane, 0 $)

Ripartizione del costo totale

All'interno del motore di occultamento

Abbiamo recuperato e analizzato il codice sorgente HTML effettivo della rete PBN. Ogni pagina di ogni dominio utilizza lo stesso motore di cloaking.

Ciò che vedono gli utenti rispetto a ciò che vede Bingbot — il z-index: 1000000 La parete nasconde 3.500 collegamenti

Struttura della pagina: 400 KB di codice HTML, oltre 3.500 link, 4 livelli

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Prova: un'unica rete, un unico database

orbit-protocol-lending.net appare su più domini PBN con ID sequenziali provenienti dallo stesso database:

Un unico database. 15 domini front-end. Tutte le schermate mostrano contenuti identici provenienti dallo stesso back-end.

Stessi ID su diversi “marchi” = un unico backend, un unico operatore. 15 domini. Stesso modello HTML. Stesso CSS (style.css). Lo stesso codice JavaScript (work.js). Le stesse pagine da 3.500 link.

Il secondo PBN — Rete di verifica dei domini

Una rete di link separata e più aggressiva fornisce backlink dofollow a destinazioni selezionate. Server principale: all-aged-domains.com — un’installazione di WordPress 6.6.2 che fornisce file CSS, JS e modelli a 50-80 domini satellite.

Perché Bing ci casca

Il robot corazzato di Google blocca il phishing all’ingresso. Il simpatico portiere di Bing tiene la porta aperta.

La vulnerabilità "Title-Match"

app.thnuster.cc ha esattamente UN backlink: una pagina SERP di Yahoo salvata nella cache. Si posiziona al primo posto su Bing per la ricerca “Thruster Finance”. Ciò dimostra che il posizionamento di Bing per le ricerche relative a marchi con bassa concorrenza si basa principalmente su:

1. Corrispondenza esatta del tag titolo alla query di ricerca
2. Il dominio è indicizzato (basta qualsiasi segnale — anche un solo link “nofollow”)
3. Nessun segnale negativo di fiducia (dominio nuovo, senza precedenti)

Google richiederebbe segnali di autorevolezza significativi ed effettuerebbe un controllo incrociato con i domini di marchi noti. Bing invece no.

Risultati n. 1 su Bing (verificati tramite SerpAPI, aprile 2026)

Elenco aggiornato dei prodotti protetti (marchi della Parte II)

Raccomandazioni (Parte II)

A Microsoft/Bing:

1. Il fatto che si tratti di un incontro valido per il titolo non è di per sé sinonimo di autorevolezza. Un titolo corrispondente non dovrebbe far posizionare un nuovo dominio al primo posto per le ricerche relative al marchio. È necessario che il dominio abbia una certa anzianità, che i backlink siano autorevoli o che vi siano segnali di verifica del marchio.
2. Rileva il cloaking basato su CSS. Le pagine che utilizzano sovrapposizioni con z-index per nascondere i contenuti agli utenti ma renderli visibili ai crawler dovrebbero essere segnalate.
3. Individuare reti PBN coordinate. 15 domini che condividono un unico backend e rimandano alle stesse destinazioni non costituiscono una strategia di link building organica.
4. Contrassegna i domini registrati su NiceNIC nelle SERP relative alle criptovalute per un controllo più approfondito.
5. Crea una procedura accelerata per lo spam su DuckDuckGo. DDG eredita tutte le vulnerabilità di Bing, ma non dispone di un meccanismo indipendente di segnalazione dello spam.

Alla NiceNIC International Group Co., Limited:

A Cloudflare:

Tutti i 26 domini utilizzano il DNS e il proxy di Cloudflare. I domini ospitano programmi per lo svuotamento dei portafogli e per la raccolta delle frasi seed tramite l’infrastruttura di Cloudflare.