Phishing, app false e approvazioni malevole

I ladri che non riescono a violare la crittografia hanno due possibilità. Possono ottenere la tua frase seed, oppure farti firmare qualcosa che consegna loro i tuoi token. Questa lezione tratta entrambe le strade.

Prima strada: la tua frase seed

Siti di phishing. Una copia del sito di un wallet o di un exchange si trova a un indirizzo che differisce di una lettera da quello vero. Viene promossa con pubblicità, email e messaggi diretti. Ti dice di «ripristinare», «verificare» o «sincronizzare» il wallet inserendo la frase seed.

App false. Imitazioni di wallet popolari arrivano negli store ufficiali. Nel 2026 Kaspersky ne ha trovate 26 nell'App Store di Apple. Catturavano la frase di recupero mentre l'utente la digitava e la inviavano agli attaccanti.

Falsa assistenza. Qualcuno risponde alla tua domanda pubblica con un messaggio privato e un link a un «modulo di assistenza».

Tutte e tre finiscono allo stesso modo: digiti le tue parole e il wallet viene svuotato. La regola della Lezione 23 le sconfigge tutte. La frase si inserisce solo quando scegli di ripristinare un wallet, in un software installato dalla fonte ufficiale.

Seconda strada: la tua firma

Questa strada non richiede la frase seed, e funziona anche contro gli hardware wallet.

Per usare un token con un'app su Ethereum, prima firmi un'approvazione. Dà allo smart contract dell'app il permesso di spostare quel token dal tuo wallet. Spesso le app chiedono un importo illimitato così devi approvare una volta sola.

Un sito malevolo ne approfitta. Si spaccia per un nuovo progetto, un airdrop o una pagina di riscatto. Colleghi il wallet e firmi quello che sembra un passaggio di routine. In realtà hai approvato il contratto dell'attaccante, che poi si prende tutti i token di quel tipo. Gli strumenti creati per questo si chiamano drainer. Chainalysis li descrive come siti che «si travestono da progetti web3».

Un esempio risale a gennaio 2024, dopo che l'account social della stessa SEC era stato compromesso. Un drainer che si spacciava per la SEC invitava le persone a collegare il wallet e riscattare token gratuiti.

Cosa significa davvero un'approvazione

Dura finché non la revochi, anche dopo che hai smesso di usare l'app.
Scollegare il wallet da un sito non la revoca.
Illimitata significa tutti i token di quel tipo, compresi quelli che aggiungerai dopo.
Se un contratto approvato viene violato o si rivela malevolo, può usare il permesso.

Difese

Rallenta quando firmi. Leggi ciò che mostra il wallet. Se parla di «approve», «permit» o «set approval for all» e non te lo aspettavi, rifiuta.

Approva solo ciò che ti serve. Molti wallet permettono di ridurre una richiesta illimitata all'importo di questa transazione.

Usa un wallet separato per gli esperimenti. Tieni un wallet con poco saldo per provare app nuove e riscattare cose. Tieni i risparmi in un wallet che non si collega mai ai siti.

Revoca le vecchie approvazioni. Blocco explorer e strumenti dedicati elencano le approvazioni del tuo indirizzo e ti permettono di revocarle. Ogni revoca è una transazione e costa una commissione. Fallo qualche volta l'anno, e subito dopo aver firmato qualcosa di cui ti penti.

Arriva in modo sicuro. Usa i segnalibri. Non cliccare pubblicità o link nei messaggi.

Ignora i soldi gratis. Token a sorpresa, airdrop a cui non ti sei iscritto e scadenze urgenti per «riscattare» sono esche.

Le due regole

Non digitare mai la frase seed per sistemare, verificare o riscattare qualcosa. Non firmare mai una transazione che non sai spiegare.