App fomo false e truffe: cosa è confermato e cosa no

Se sei arrivato qui cercando un avviso sulle truffe fomo app per via dei titoli sul malware di settembre 2026, parti da una correzione. Quei titoli non parlavano di una app fomo falsa.

L’app di quella storia era FomoPeek, uno strumento di whale watching che distribuiva malware dentro le proprie release, attraverso il proprio account sviluppatore. SlowMist, la società di sicurezza che ha pubblicato l’analisi il 19 settembre 2026 insieme al team di sicurezza di OKX, dice che non era un’app contraffatta. La collisione di nome con fomo è l’unico motivo per cui è finita negli elenchi di app fomo false.

Imitazioni vere di fomo esistono. Ne sono state documentate tre, e la più recente è quella che conta di più, perché la vittima non ha fatto niente di quello che i soliti consigli di sicurezza crypto dicono di non fare.

Cos’è stata davvero la storia FomoPeek

FomoPeek era un prodotto vero con utenti veri. La versione 1.1, uscita il 9 settembre 2026, conteneva moduli malevoli. Anche la 1.2, del 12 settembre. La 1.3, del 17 settembre, li ha rimossi. SlowMist e OKX hanno pubblicato l’analisi il 19 settembre, e la società Salus ha tracciato i fondi: circa 579.984 USDT, all’incirca 580.000 dollari, sono arrivati sull’indirizzo principale dell’attaccante.

Leggi bene quella cifra, perché quasi ogni articolo che la ripete la sbaglia. È l’afflusso verso un solo indirizzo. Non è un totale verificato di quanto hanno perso le vittime, e nessuno ne ha pubblicato uno.

Questa pagina non nomina lo sviluppatore di FomoPeek né l’id dell’app. Gli unici posti dove compaiono sono post di affiliazione e siti mirror di IPA, che non è uno standard da raggiungere in una pagina su come non installare la cosa sbagliata.

FomoPeek quindi sta nella tua lista di letture come motivo per diffidare di un’app che hai già installato. Non sta in un elenco di falsi di fomo.

I due siti fomo falsi agli atti

Documentati entrambi da PCrisk, entrambi con la stessa forma: copi il sito, sostituisci un pulsante, svuoti il wallet che si collega.

claim-fomo.family, maggio 2025

Documentato il 9 maggio 2025. Imitava il sito ufficiale e pubblicizzava un evento per utenti idonei. Un pulsante per verificare l’idoneità chiedeva di collegare un wallet, e approvare quella richiesta firmava un contratto drainer che puntava ai beni di maggior valore raggiungibili.

PCrisk dice chiaramente che un evento fomo del genere non esiste e che la piattaforma vera non ha un token nativo. Il secondo dettaglio è quello da tenere. fomo non ha un token, quindi una pagina di airdrop, una pagina di claim o un controllo di idoneità è una pagina di phishing prima ancora che tu arrivi a leggere il dominio.

fomoo.family, luglio 2026

Documentato il 16 luglio 2026 dal ricercatore Tomas Meskauskas. Una copia del sito con una lettera raddoppiata nel dominio e una sola modifica funzionale: il pulsante di download era sostituito da un pulsante per collegare il wallet che proponeva MetaMask, Trust Wallet e OKX Wallet. Approvare il collegamento faceva partire un drainer.

Questo caso poggia su un solo rapporto e il sito risulta offline. Non è mai stata pubblicata una cifra di perdite. Se ne vedi una citata, è inventata.

L’attacco che dovrebbe cambiarti la lista dei controlli

Intorno all’8 ottobre 2026 SlowMist ha documentato il furto di circa 48.000 dollari a un utente della fomo web. Il percorso vale la pena percorrerlo con calma.

L’utente era sull’app web di fomo e ha cliccato il link al progetto di un token, che l’ha portato su voltage.family. Quella pagina eseguiva una finta verifica umana, del tipo che ti chiede di dimostrare che non sei un bot. Invece di un rompicapo, gli ha detto di trascinare un’icona nella barra dei segnalibri del browser e di cliccarla.

Quell’icona era un bookmarklet, un segnalibro che esegue JavaScript sulla pagina che stai guardando. Cliccato dentro l’app web di fomo, ha letto l’archivio del browser e ha rispedito i token di accesso e di refresh Privy dell’utente, i dati IndexedDB e i dati del wallet. Con un token di sessione valido, all’attaccante non servivano la password dell’account né altro.

Ora la parte che conta. La vittima non ha mai collegato un wallet. Non ha mai firmato una transazione. Non ha mai digitato una seed phrase, e non avrebbe potuto, perché i wallet fomo sono costruiti su Privy e non hanno una seed phrase da digitare. Era entrata con Google e non aveva l’autenticazione a due fattori attiva.

Ogni consiglio sulla sicurezza nelle memecoin che hai letto l’avrebbe lasciata esposta esattamente allo stesso modo. «Non condividere mai la seed phrase» è giusto e qui inutile. La credenziale rubata era una sessione attiva.

Le indicazioni date da SlowMist dopo il caso sono abbastanza brevi da impararle a memoria. Una verifica vera non ti chiede mai di trascinare qualcosa nella barra dei segnalibri. Controlla i segnalibri che hai, perché uno che non hai creato tu è di per sé un campanello. Attiva l’autenticazione a più fattori sull’account con cui accedi. E se hai già eseguito qualcosa di sospetto, revoca le sessioni da un dispositivo di cui ti fidi, non da quello che l’ha eseguito.

La lista di controlli per cui esiste questa pagina

Queste sono le coordinate che fomo pubblica. Tutto il resto che porta quel nome è di qualcun altro.

Cosa	Quello vero
App iOS	«fomo - never miss out», id App Store 6741115427, venditore FOMO Labs Inc.
Pacchetto Android	family.fomo.app
Sito	fomo.family
X	x.com/fomo
Discord	discord.gg/fomofamily
Instagram	instagram.com/tryfomo
Email di supporto	support@fomo.family, indicata nei termini di servizio

La pagina sul download della fomo app ha le due schede degli store come link, che è una strada più sicura del cercare nello store e scegliere a occhio dall’icona.

Cose che non sono fomo e che vengono scambiate per fomo di continuo: l’account X @fomo_lab, che è un progetto NFT senza relazione; fomo.io, un’altra azienda senza niente a che fare con FOMO Labs; l’app Shopify chiamata Fomo, che dal 2015 vende widget di notifica per i negozi; e diverse app dell’App Store senza relazione che usano la parola FOMO. fomo inoltre non indica da nessuna parte un canale Telegram, quindi un account Telegram che offre supporto fomo non è supporto fomo. La pagina su disservizi e supporto tiene l’elenco dei contatti aggiornato in un posto solo.

Il nome dell’editore è l’indizio

I casi di app false del 2026 che hanno fatto danni veri condividono una sola debolezza, e non è l’icona né gli screenshot.

Un finto Ledger Live sul Mac App Store ha preso circa 9,5 milioni di dollari da una cinquantina di utenti ad aprile 2026. Era pubblicato con il nome Leva Heal Limited, una società senza alcun legame con Ledger. Una finta scheda di Sparrow Wallet su iOS ha preso circa 1,8 milioni di dollari e ha portato a una causa depositata il 24 luglio 2026. Il vero Sparrow è software per desktop e non ha nessuna app iOS, quindi quella scheda poteva solo essere falsa. La ricerca FakeWallet di Kaspersky ad aprile 2026 ha contato 26 app dell’App Store che imitavano Trust Wallet, MetaMask, Ledger e altri.

In ogni caso il nome dell’app sembrava giusto. La riga dell’editore no.

Da qui due abitudini. Leggi il campo venditore o sviluppatore, non il titolo, prima di installare. E controllalo più di una volta, perché la versione 1.0 di FomoPeek era pulita e la 1.1 no. Rileggi l’editore quando reinstalli, quando configuri un telefono nuovo, e ogni volta che un link in una chat o in una risposta ti scarica su una pagina dello store.

fomo su tutto questo non dice niente

L’11 ottobre 2026 non è stato possibile trovare nessun avviso su imitazioni o phishing su fomo.family né sul suo blog. L’unico post sulla sicurezza è Spotting Scams and Low-Quality Tokens del 25 dicembre 2025, e parla di token truffa scambiati su fomo, non di falsi di fomo.

È un buco, non un’accusa. Parecchie app lasciano questo lavoro alle società di sicurezza. Vuol dire però che se stai verificando se qualcosa è autentico, il sito di fomo non ti aiuterà granché, e che una pagina come questa o l’analisi la fomo app è affidabile fa un lavoro che l’azienda non ha fatto. Se ti interessa il lato societario, chi possiede la fomo app ha i documenti e la traccia dei finanziamenti.

Se pensi di aver già cliccato

Procedi in quest’ordine, da un dispositivo che non hai usato sulla pagina sospetta.

1. Esci da tutte le sessioni e revocale, poi rientra.
2. Cambia la password dell’indirizzo email o dell’account Google con cui accedi a fomo, e attiva lì l’autenticazione a due fattori. Senza seed phrase di mezzo, quel login è la porta d’ingresso.
3. Elimina qualsiasi segnalibro che non hai creato tu.
4. Sposta i fondi che non puoi permetterti di perdere su un wallet di cui possiedi le chiavi.
5. Scrivi a support@fomo.family con orari e hash delle transazioni, e scrivi nel Discord. Niente di tutto questo garantisce un recupero, e i trasferimenti onchain non si annullano.

Un’ultima cosa da tenere distinta. Un’app falsa e un token pessimo sono problemi diversi con lo stesso finale, e la maggior parte dei soldi persi su app come fomo va al secondo. Se insegui coin nuove più che falsi, la guida alle memecoin su Solana copre honeypot e trappole di liquidità, e problemi con i depositi copre i fallimenti di ricarica che di solito dipendono dalla tua banca e non da un attacco. Il trading di memecoin è speculazione ad alto rischio, non è investire, la maggior parte di chi lo fa perde soldi, e niente in questa pagina è un consiglio finanziario.