Rabby Recensione

In sintesi

Rabby è il wallet EVM costruito dal team di DeBank e pubblicato da OPCODE LABS PTE. LTD. (Singapore), pensato come alternativa a MetaMask (da cui nasce come fork) per utenti DeFi attivi. A ottobre 2026 integra oltre 70 reti EVM (il centro assistenza di Rabby parla di 80+): Arbitrum, Optimism, Base, Polygon, BNB Chain, Avalanche, zkSync, Scroll, Linea e decine di altre L1 e L2 EVM, più qualsiasi catena EVM aggiunta a mano come rete personalizzata. Le feature su cui punta sono quattro: transaction simulation pre-sign (mostra cosa succederà ai tuoi saldi prima che tu confermi), auto chain-switching (rileva la rete giusta per ogni dApp e cambia in automatico), phishing protection (avvisa e blocca la connessione ai siti segnalati) e GasAccount (un unico saldo per pagare il gas su qualsiasi rete supportata). Licenza MIT per l'estensione, repo pubblico, audit annuali di SlowMist e Least Authority dal 2022 e un bug bounty fino a 10.000 USDC. Non è a commissioni zero: swap e bridge costano lo 0,25%, già incluso nella quotazione. E non esiste una versione per Firefox. Per il lettore italiano che vive su DeFi EVM, Rabby è a nostro giudizio una scelta tecnicamente superiore a MetaMask. Per qualunque cosa fuori dall'EVM (Solana, Bitcoin native), non è la risposta giusta.

Per chi è adatto

Utenti italiani DeFi-attivi sull'ecosistema EVM (Uniswap, Aave, Curve, Lido, GMX, Pendle, Stargate) che vogliono un wallet con difese pre-firma che riteniamo tra le più mature del mercato. Adatto a chi opera su molte catene EVM (Arbitrum, Optimism, Base, Polygon, Linea, Scroll, zkSync) e vuole l'auto chain-switching per evitare errori manuali di rete. Buona scelta per chi viene da MetaMask ed è stato scottato da firme cieche su drainer o phishing: la transaction simulation di Rabby è progettata esattamente per quel caso. E sugli swap si paga meno: 0,25% contro lo 0,875% indicato da MetaMask.

Per chi non è adatto

Se ti serve Solana, Bitcoin native, Cosmos o catene non-EVM, Rabby non le supporta: in quei casi servono Phantom, Trust Wallet o wallet ecosystem-specifici. Se navighi con Firefox, Rabby non esiste: ogni estensione "Rabby" su Firefox è falsa. Se vuoi un'esperienza consumer pulita e mainstream, MetaMask resta più riconoscibile e, con gli Snaps, arriva anche su reti non-EVM. Se cerchi un wallet con interfaccia e supporto clienti in italiano, Rabby non fa per te: l'app non è tradotta in italiano e l'assistenza passa dal centro assistenza in inglese, con chat ed email.

Chi è Rabby nel 2026

Rabby è sviluppato dal team di DeBank, il tracker di portfolio on-chain per utenti DeFi. L'editore legale è OPCODE LABS PTE. LTD., con sede a Singapore: è il nome che compare nei termini d'uso aggiornati al 9 dicembre 2025 e come editore delle app su App Store e Google Play. Nei termini dell'ottobre 2024 l'editore era ancora DeBank Global PTE. LTD. DeBank è stata cofondata nel 2018 da Tang Hongbo e a dicembre 2021 ha raccolto 25 milioni di dollari a una valutazione di 200 milioni, in un round guidato da Sequoia China. Dalle nostre ricerche non risultano nuovi round di funding tra il 2024 e il 2026. La mossa strutturale più importante è stata il lancio della DeBank Chain (L2 su OP Stack), con la mainnet aperta agli utenti il 19 luglio 2024. Oggi la catena è quasi inattiva: L2BEAT stima un valore totale protetto intorno agli 800.000 dollari. Il legame con Rabby resta: secondo L2BEAT si può fare bridge verso DeBank Chain direttamente dal wallet.

Una caratteristica di DeBank vale la pena saperla: Rabby pesca direttamente dai suoi dati on-chain (portfolio su tutte le catene, cronologia delle transazioni leggibile, NFT e posizioni DeFi per ogni indirizzo). A nostro giudizio è il vantaggio più concreto della parentela con DeBank, perché dà al wallet una profondità di informazioni che altrove richiede strumenti separati.

Lineup 2026: browser, desktop, mobile

Nel corso del 2026 l'estensione si è allargata: mercati predittivi (gennaio), lending (febbraio), conversione delle piccole giacenze o "dust" (aprile), staking (giugno), swap e bridge su Robinhood Chain (luglio) e swap tra stablecoin senza commissione (luglio). Anche i mercati predittivi sono bloccati in alcune regioni: prima di contarci, verifica nell'app se sono disponibili dal tuo paese.

Catene supportate: oltre 70 reti EVM

Rabby è un wallet EVM-only: non supporta Solana, Bitcoin native, Tron, Cosmos, TON, Aptos, Sui o altre catene non-EVM. La copertura EVM è comunque ampia. Il centro assistenza di Rabby parla di "80+" reti integrate nativamente (giugno 2026), mentre l'elenco live delle catene di Rabby ne conteneva 71 il 16 ottobre 2026. La cifra di 140+ catene che si legge in alcune guide non trova riscontro nelle fonti di Rabby. Tra le reti integrate ci sono le L1 EVM-compatible (BNB Chain, Avalanche C-Chain, Polygon PoS), le L2 più diffuse (Arbitrum, Optimism, Base, zkSync Era, Scroll, Linea, Mantle), Gnosis Chain e reti più recenti come DeBank Chain, HyperEVM, Robinhood Chain, Monad, MegaETH e Arc. Arbitrum Nova, GOAT e XRPL EVM non compaiono nell'elenco integrato di ottobre 2026. Qualsiasi altra catena EVM si può aggiungere a mano come rete personalizzata, con funzioni limitate.

Le quattro killer features

Quello che rende Rabby la scelta consigliata per DeFi power user non è la copertura catene (anche MetaMask permette di aggiungere qualsiasi rete EVM tramite RPC personalizzato) ma la qualità delle difese pre-firma. Quattro feature in particolare:

1. Transaction simulation pre-sign: quando una dApp ti chiede di firmare una transazione, Rabby la simula e ti mostra esattamente cosa succederà: quali token usciranno dal tuo wallet, quali ne arriveranno, con quali contratti interagirai, quali approval verranno concessi. Il motore di sicurezza controlla anche chi riceve l'autorizzazione (per esempio un indirizzo EOA al posto di un contratto), il "Trust Value" del contratto, i contratti creati da meno di 3 giorni, l'impatto sul prezzo, i token truffa e le firme Permit senza gas. Se rileva un rischio, il pulsante di firma resta disattivato finché non scegli "Ignore All". A nostro giudizio è la difesa singola più utile contro i drainer del 2025-2026.
2. Auto chain-switching: il wallet rileva su quale chain sta operando la dApp che hai aperto e cambia in automatico al network giusto. Niente più "Please switch your network to Arbitrum" con sei click manuali e rischio di firma sulla chain sbagliata.
3. Phishing protection: quando ti colleghi a un sito, Rabby lo confronta con la propria lista di siti di phishing (avviso rosso "Flagged by Rabby"), verifica se compare in directory pubbliche come Alchemy, CoinMarketCap, DappRadar e DefiLlama, ne indica la popolarità e mostra le etichette che gli hai dato tu. Se rileva un rischio, il pulsante Connect resta disattivato. Gli utenti possono anche segnalare token truffa. Non è perfetta (i drainer evolvono rapidamente) ma riduce la superficie di attacco.
4. GasAccount: un saldo unico con cui pagare il gas su qualsiasi rete supportata. Si ricarica con token, che si possono poi prelevare, oppure con Apple Pay o Google Pay, e in questo caso il saldo non è prelevabile. Rabby non applica commissioni di servizio aggiuntive, ma l'addebito include una commissione di trasferimento. Per il gas ordinario Rabby propone quattro opzioni: Fast, Normal, Slow e Custom.

Open source e audit

Il codice dell'estensione Rabby è open source con licenza MIT, con una clausola aggiunta: nome e logo di Rabby restano riservati e non si possono usare in software ripubblicati, ed è per questo che GitHub classifica la licenza come "Other". La stessa licenza vale per Rabby Desktop, mentre il codice dell'app mobile (RabbyHub/rabby-mobile) è pubblico ma senza file di licenza. Il repository dell'estensione è RabbyHub/Rabby su GitHub, attivamente mantenuto con rilasci regolari. Per il lettore italiano significa: il codice del wallet è verificabile, audit indipendenti possono essere condotti da chiunque, i fork sono permessi purché non usino il marchio Rabby. Resta chiuso invece il servizio dati di Rabby (motore di sicurezza, dati di portfolio, quotazioni).

Sul fronte audit indipendenti, i lavori pubblici sono questi:

• SlowMist: audit dell'estensione pubblicato il 18 marzo 2022 e ripetuto nel 2023, nel 2024, nel 2025 e ad agosto 2026. L'ultimo ha esito "Passed" con 3 suggerimenti, 2 dei quali solo presi in carico e non corretti: firme EIP-712 con chainId pari a 0 che aggirano il controllo sulla rete, e credenziali di prelievo di GasAccount salvate in chiaro nello storage del browser. SlowMist ha verificato anche Rabby Desktop (settembre 2023: una vulnerabilità critica e una media, entrambe corrette) e le app mobile iOS e Android (2024, 2025 e agosto 2026).
• Least Authority: prima revisione dell'estensione a dicembre 2024, poi revisioni delle sole modifiche a settembre 2025 e a ottobre 2026. Il rapporto del 9 ottobre 2026 segnala 2 problemi di gravità media non del tutto risolti, tra cui le chiavi agent di Perps che restano in memoria dopo il blocco del wallet. Su mobile Least Authority ha pubblicato rapporti nel 2024, nel 2025 e a ottobre 2026: nell'ultimo restano aperti 4 problemi di gravità media e la protezione della password è corretta solo in parte. I PDF sono pubblicati nei repository GitHub di Rabby.
• Cure53: test di sicurezza dell'app mobile, rapporto del 22 ottobre 2024, con 3 rilievi di gravità alta (tra cui la frase di recupero e la password ricavabili da un dump della memoria del processo). Il rapporto conferma la correzione di 4 rilievi minori ma di nessuno dei 3 alti, e nessuna fonte successiva ne conferma la correzione.
• Bug bounty: programma su Bugrap, fino a 10.000 USDC per le vulnerabilità critiche.

Least Authority nota anche che Rabby protegge la password con parametri di derivazione della chiave volutamente leggeri, come MetaMask: se qualcuno ruba il file cifrato del wallet, una password debole si può forzare. Usa una password lunga.

Una precisazione su PeckShield: non ha auditato il wallet, ma aveva verificato lo smart contract dello swap (Rabby Router) prima dell'exploit dell'ottobre 2022, senza individuare la falla. Gli audit del wallet sono quelli di SlowMist, Least Authority e Cure53.

Sicurezza: incidenti storici da contestualizzare

Rabby nasce da un fork di MetaMask (lo conferma Least Authority) e punta tutto sulle difese pre-firma. La sua storia comprende però alcuni incidenti che vanno conosciuti onestamente:

• 11 ottobre 2022 - Rabby Swap exploit: lo smart contract dello swap di Rabby eseguiva qualsiasi chiamata indicata dal chiamante senza controllarla, e un attaccante l'ha usato per spendere i token che gli utenti gli avevano autorizzato: 114 ETH e 179 BNB, tra 190.000 e 200.000 dollari. Rabby ha chiesto agli utenti di revocare gli approval verso Rabby Swap su tutte le catene. Secondo Revoke.cash il contratto non è modificabile, non è mai stato messo in pausa né corretto ed era distribuito su 19 catene, quindi i vecchi approval restano un rischio; sempre Revoke.cash scrive che gli utenti colpiti sono stati rimborsati con un fondo assicurativo, ma non abbiamo trovato una conferma di Rabby. È l'unico exploit noto con perdite nel codice di Rabby.
• Febbraio 2024 - fake app su Apple App Store: Apple ha approvato una falsa "Rabby Wallet & Crypto Solution" app (sviluppatore "Solution Development") mentre la vera Rabby iOS app era ancora in revisione. Chi ha importato la propria seed nella falsa app ha perso i fondi: secondo un'inchiesta di Cointelegraph Magazine, gli indirizzi segnalati pubblicamente per quel mese sommano oltre 1 milione di dollari di perdite. Apple ha poi rimosso l'app. Già a fine 2023 erano comparse altre app Rabby false. È un errore di Apple App Store, non un bug di Rabby, ma il brand è stato penalizzato. La vera Rabby Mobile è uscita il 28 febbraio 2024.
• 2024 - BeaverTail malware: la campagna BeaverTail (malware attribuito al gruppo nordcoreano Lazarus) ha espanso i target inclusi anche Rabby, accanto a Kaikas, Argent X ed Exodus Web3 (Group-IB, settembre 2024). Il malware ruba dati dall'estensione vera sui computer infetti: non è una falla di Rabby. Mitigazione: non eseguire mai codice non verificato in ambienti dove il seed Rabby è caricato.
• Agosto 2025 - GreedyBear: una campagna di estensioni Firefox false che imitavano wallet noti, Rabby compreso. Il furto stimato, circa 1 milione di dollari, riguarda l'intera campagna e non solo Rabby.
• Settembre 2025 - npm supply-chain attack: il 9 settembre 2025 Rabby ha confermato pubblicamente di non essere stato compromesso nell'attacco supply-chain npm che aveva colpito altri progetti crypto.
• Da marzo a ottobre 2026 - cloni su Firefox: la società di sicurezza Socket ha individuato almeno 20 add-on Firefox malevoli basati sul codice di Rabby, che rubavano le chiavi salvate o la frase di recupero, e Mozilla ne ha rimossi altri 4 entro il 5 ottobre 2026. Le perdite non sono quantificate.
• Agosto 2026 - falla nelle firme dell'estensione: una vulnerabilità sfruttabile solo con un sito malevolo collegato e il blocco automatico impostato esattamente a 10 minuti. Rabby dice di aver rilasciato la correzione l'11 agosto e di non aver rilevato sfruttamenti; l'app mobile non era coinvolta. Era una falla sulle firme (un sito malevolo poteva ottenerle senza che l'utente se ne accorgesse), non una fuga di chiavi private.

Bilancio onesto: le difese pre-firma di Rabby sono, a nostro giudizio, tra le più complete su EVM, ma il quadro comprende un exploit storico nel codice (tra 190.000 e 200.000 dollari nel 2022, con approval che restano a rischio), alcuni rilievi di audit ancora aperti e soprattutto le copie false: le perdite più grandi legate al nome Rabby vengono da app e add-on contraffatti. Scarica Rabby solo da rabby.io o dagli store ufficiali, controllando che l'editore sia OPCODE LABS PTE. LTD. Nessuna soluzione è perfetta; Rabby resta comunque una delle scelte più solide per DeFi power user EVM.

Swap, hardware, DeBank integration

• Swap e bridge con commissione dello 0,25%: Rabby applica una commissione di servizio dello 0,25% sugli swap (da luglio 2024) e sui bridge, già inclusa nella quotazione, e approva solo l'importo esatto, mai un'autorizzazione illimitata. Gli swap tra stablecoin sulla stessa rete sono senza commissione dal 17 luglio 2026, e il centro assistenza indica come gratuiti anche gli swap tra ETH e token di liquid staking (stETH, wstETH, rETH e altri), ma solo su Ethereum mainnet. Gli swap passano per diversi aggregatori DEX (per esempio 1inch, 0x, ParaSwap e ODOS); quali siano attivi in un dato momento non è documentato. Lo 0,25% resta comunque inferiore allo 0,85% di Phantom (sulla maggior parte degli swap) e allo 0,875% indicato da MetaMask.
• Hardware wallet support: il centro assistenza elenca 11 hardware wallet compatibili con l'estensione: Ledger, Trezor, GridPlus, OneKey, Keystone, NGRAVE ZERO, BitBox02, CoolWallet, AirGap Vault, imToken e imKey. Sull'app mobile sono 4: Ledger e Trezor via Bluetooth, Keystone e OneKey. Il codice dell'estensione prevede anche il collegamento via WalletConnect ad app mobile come MetaMask, Trust Wallet e TokenPocket.
• DeBank portfolio integration: il wallet pesca da DeBank il portfolio aggregato (saldi su tutte le chain in una vista), la cronologia transazioni leggibile (chiamate ai contratti decodificate), gli NFT detenuti, e le posizioni DeFi attive (collateral su Aave, LP su Uniswap, staking su Lido, posizioni perpetue su GMX). È, a nostro giudizio, il tratto che più distingue Rabby dagli altri wallet.

MiCA e contesto regolamentare italiano

Rabby come wallet non-custodial non ha bisogno della licenza CASP: il considerando 83 del Reg. UE 2023/1114 (MiCA) esclude dal perimetro del regolamento i fornitori di wallet hardware o software non-custodial. A ottobre 2026 nessuna entità DeBank, Rabby od OPCODE LABS risulta autorizzata come CASP nel registro ESMA, e i termini d'uso di Rabby dichiarano che la società non è registrata né autorizzata presso alcun regolatore finanziario. Gli swap in-app passano per aggregatori DEX che operano come protocolli on-chain decentralizzati, con la commissione Rabby dello 0,25%.

Per chi usa Rabby in combinazione con on-ramp di terze parti (esempio: comprare ETH con euro su un exchange o un servizio di acquisto e mandarlo all'indirizzo Rabby): la transazione fiat è regolata da quel fornitore, sotto la propria autorizzazione. Anche l'app mobile di Rabby ha una funzione di acquisto che passa per fornitori esterni, che non siamo riusciti a identificare. Con la DAC8, i prestatori di servizi per le cripto-attività (CASP) raccolgono i dati dal 1° gennaio 2026 e li comunicano all'Agenzia delle Entrate entro il 30 giugno 2027.

Tasse italiane sull'uso di Rabby (2026)

• Quadro RW: dichiarazione obbligatoria del valore in euro al 31 dicembre, includendo tutte le crypto su tutte le catene EVM gestite da Rabby. Si usa il codice 21 "cripto-attività", una riga per ogni wallet, anche per il self-custody e anche se l'attività è stata ceduta in corso d'anno. Non esiste una soglia di esonero per le cripto-attività.
• Imposta sul valore delle cripto-attività: 2 per mille (0,20%) del valore al 31 dicembre (o al termine del periodo di detenzione), in proporzione ai giorni di detenzione. Si dichiara nel quadro RW, rigo RW8, e si versa con F24: codice 1727 per il saldo, 1728 e 1729 per gli acconti. Non si versa se l'importo dovuto non supera 12 euro.
• Quadro RT e plusvalenze: le plusvalenze sono redditi diversi (art. 67, comma 1, lettera c-sexies, TUIR). Dal 1° gennaio 2026 l'aliquota è del 33% (era 26% nel 2025), come prevede l'art. 1, comma 24, L. 207/2024. La franchigia di 2.000 euro è stata abolita per le plusvalenze realizzate dal 1° gennaio 2025 (art. 1, comma 25, L. 207/2024). Le minusvalenze sono compensabili nei quattro periodi d'imposta successivi.
• Carve-out stablecoin EUR MiCAR al 26%: i redditi da token di moneta elettronica denominati in euro sono tassati al 26% anziché al 33% (art. 1, comma 28, L. 199/2025); la legge non nomina token specifici. La stessa legge stabilisce che la conversione tra euro e questi token, e il rimborso in euro al valore nominale, non generano plusvalenze o minusvalenze. USDT, USDC, DAI e gli altri stablecoin in dollari restano al 33%.
• DeFi e DAC8: i CASP raccolgono i dati dal 1° gennaio 2026 e li comunicano all'Agenzia delle Entrate entro il 30 giugno 2027. Le attività DeFi svolte direttamente on-chain (LP, staking decentralizzato, lending su Aave) non passano da un CASP, ma sono tracciabili on-chain e vanno comunque dichiarate. Le ricompense di staking sono redditi diversi (art. 67, lettera c-sexies, TUIR), tassati sull'importo lordo, come chiarito dalla circolare 30/E del 2023. Per le ricompense da liquidity provision le fonti che abbiamo verificato non danno indicazioni specifiche: conviene sentire un commercialista.

Rabby vs MetaMask: la comparazione che conta

Per chi usa la DeFi su reti EVM, la scelta di solito è tra Rabby e MetaMask. Sintesi onesta:

• Vince Rabby: commissione sugli swap più bassa (0,25% contro lo 0,875% indicato da MetaMask), transaction simulation e controlli di rischio prima di ogni firma (anche MetaMask mostra avvisi di sicurezza e anteprime del saldo), auto chain-switching (UX migliore), controllo dei siti al momento della connessione, licenza MIT per l'estensione (il codice di MetaMask è pubblico, ma con una licenza di ConsenSys che non è open source), integrazione DeBank profonda.
• Vince MetaMask: Solana (maggio 2025), Bitcoin native (dicembre 2025) e Tron (gennaio 2026), con Stellar in distribuzione nel 2026; Rabby resta EVM-only. Gli Snaps, estensioni di terze parti che aggiungono altre reti (per esempio Sui, Polkadot e XRP) e funzioni. Brand recognition più alto in mainstream (più dApp lo trattano come default wallet).

Per il lettore italiano DeFi-attivo su EVM: a nostro giudizio Rabby è la scelta tecnicamente superiore. Per chi opera anche su Solana o Bitcoin nativo, oppure vuole il wallet più mainstream: MetaMask. Per un power user italiano che usa più ecosistemi nel 2026, una configurazione sensata è "Rabby per EVM + Phantom per Solana + wallet Bitcoin dedicato".

Verdetto finale

Rabby nel 2026 è, a nostro giudizio, il wallet EVM tecnicamente più convincente per utenti DeFi attivi. Le quattro funzioni su cui punta (transaction simulation, auto chain-switching, phishing protection, GasAccount) coprono bene i rischi tipici della firma su EVM. Licenza MIT per l'estensione, audit pubblici ogni anno dal 2022 (SlowMist e Least Authority, più Cure53 su mobile), bug bounty fino a 10.000 USDC, integrazione profonda con i dati DeBank, supporto a 11 hardware wallet sull'estensione e oltre 70 reti EVM integrate. Rabby Mobile su iOS e Android, Rabby Perps da settembre 2025 e le novità del 2026 (lending, staking, mercati predittivi) estendono il prodotto verso uso mobile e trading.

I limiti sono altrettanto chiari: nessun supporto Solana, Bitcoin native, Cosmos o catene non-EVM. Nessuna versione per Firefox, dove circolano solo copie false. Nessuna interfaccia in italiano: l'estensione è tradotta in 15 lingue, ma l'italiano non c'è. L'assistenza passa dalla chat del centro assistenza (in inglese) e dall'email support@rabby.io; Discord serve per la community, Telegram mai. Swap e bridge costano lo 0,25%: meno di MetaMask, ma non zero. Alcuni rilievi di audit restano aperti, soprattutto su mobile. L'exploit storico dello swap del 2022 (tra 190.000 e 200.000 dollari) e le app false su Apple del febbraio 2024 sono fatti da conoscere ma non sono blocchi strutturali al 2026.

Per chi vive di DeFi su EVM, Rabby è la scelta consigliata. Per chi vuole multi-chain ampio fuori EVM, combinarlo con Phantom o Trust Wallet copre i casi residuali.