Le truffe con gli NFT e come evitarle

La maggior parte dei furti di NFT ha bisogno della tua firma. Il lavoro del truffatore è farti firmare qualcosa di fretta. Questa lezione ripercorre i copioni più comuni e la firma che ciascuno cerca di ottenere.

Siti di mint falsi

Un truffatore si inventa un progetto, o ne copia uno vero, e promuove un «mint» con un messaggio diretto, una email o sui social. Il sito ti spinge a fare in fretta: un conto alla rovescia, un contatore che mostra la disponibilità in esaurimento, pop-up di altre persone che stanno facendo mint.

Quando premi il pulsante, il tuo wallet mostra una di tre cose:

Un semplice pagamento. Mandi ETH e non ricevi niente.
Un'approvazione sui token. Dai al contratto del sito il permesso di spostare token fuori dal tuo wallet.
Una richiesta che il tuo wallet segnala come pericolosa. Alcuni wallet mostrano un avviso rosso che potresti cedere il controllo dei tuoi asset.

Le indicazioni di MetaMask sono dirette: fare il mint di un NFT dovrebbe costare solo ETH, quindi un mint non ha motivo di chiedere un'approvazione. Se il tuo wallet mostra un avviso, non firmare.

Drainer di approvazioni

La Lezione 53 ha spiegato che mettere in vendita un NFT usa una funzione chiamata setApprovalForAll. Permette a un altro contratto di spostare tutti i token che hai in una collezione.

I siti truffa chiedono la stessa approvazione fingendo di fare altro: riscattare una ricompensa, verificare il tuo wallet, iscriverti a un drop. Appena firmi, il contratto del truffatore si prende gli NFT quando vuole. Non serve nessun'altra firma.

La regola pratica di MetaMask: non dovresti mai dover firmare questo tipo di approvazione per ricevere qualcosa.

La Lezione 37 tratta le approvazioni per i token normali. Gli NFT funzionano allo stesso modo.

Collezioni contraffatte

Chiunque può copiare le immagini di una collezione e creare un nuovo contratto con lo stesso nome. Le copie compaiono nei risultati di ricerca accanto all'originale, spesso a prezzi più bassi.

Il nome e le immagini non dimostrano niente. L'indirizzo del contratto è l'unico identificativo. Prendilo dal sito ufficiale del progetto e confrontalo prima di comprare.

NFT a sorpresa

Nel tuo wallet compare un NFT che non hai mai chiesto. Il nome o la descrizione contengono un indirizzo web e una promessa: un premio da riscattare, un token da convertire.

È un'esca. Il sito ti chiederà un'approvazione o una firma. Lascia stare l'NFT. Non serve rimuoverlo, e provare a venderlo o spostarlo può essere proprio la trappola.

Rug pull

Un progetto esaurisce il suo mint grazie a una roadmap: un gioco, eventi, una quota dei ricavi futuri. Poi il team smette di rispondere e i soldi spariscono. La Lezione 11 ha trattato i rug pull sui token. I progetti NFT falliscono nello stesso modo.

Team anonimi, roadmap vaghe e pressione a fare mint subito sono i segnali tipici.

Prezzi falsi

La Lezione 53 ha trattato il wash trading. Un truffatore scambia un NFT tra i propri wallet a prezzi crescenti, poi te lo propone con uno «sconto».

Abitudini che fermano quasi tutto

Usa un wallet separato per fare mint e navigare. Tieni gli NFT di valore e i risparmi in un wallet che non si collega mai a siti nuovi.
Arriva ai siti da un segnalibro o dal profilo verificato del progetto. Mai da un messaggio diretto.
Leggi la richiesta del wallet. Chiediti cosa permetterà di fare all'altra parte. Se vedi "approval for all" e non stai mettendo in vendita niente, fermati.
Rallenta. La fretta è la truffa. Un mint vero esaurito senza di te non ti è costato niente.
Controlla e revoca le approvazioni che non ti servono più.
Ricorda cosa non fa un hardware wallet. Tiene la tua chiave offline. Ma firmerà comunque un'approvazione dannosa se premi il pulsante.

Se hai firmato qualcosa che non dovevi, la Lezione 40 ha un piano di risposta. La rapidità conta.