Address poisoning: la trappola del copia-incolla che svuota i wallet

L’address poisoning (avvelenamento dell’indirizzo) è una truffa in cui un attaccante inserisce un indirizzo wallet quasi identico nella tua cronologia delle transazioni, di solito inviandoti un trasferimento minuscolo o falso, sperando che in seguito tu copi quell’indirizzo al posto di quello vero e gli invii dei fondi. Non viola il tuo wallet; sfrutta l’abitudine di copiare gli indirizzi dall’attività recente e di controllare solo i primi e gli ultimi caratteri.

L’attacco è diventato comune sulle reti in cui stablecoin come USDT e USDC vengono spostate di frequente, perché i trasferimenti grandi e ripetuti tra gli stessi indirizzi sono facili da individuare su una blockchain pubblica. Le perdite possono essere ingenti, dato che le vittime spesso spostano somme significative verso indirizzi di cui si fidano. La buona notizia è che poche semplici abitudini lo fermano quasi del tutto.

Come funziona un attacco di address poisoning

L’attacco segue di solito lo stesso schema:

1. 1Osservazione. L’attaccante monitora la blockchain alla ricerca di wallet che inviano fondi regolarmente, per esempio da un wallet personale a un indirizzo di deposito di un exchange.
2. 2Creazione di un sosia. Con un software di generazione di indirizzi, l’attaccante crea un indirizzo i cui primi e ultimi caratteri coincidono con la destinazione che usi. Gli indirizzi wallet sono lunghi e molti wallet li abbreviano in qualcosa come 0x1a2b...9f8e, quindi per il trucco contano solo quei caratteri visibili.
3. 3Avvelenamento della cronologia. L’attaccante invia una transazione che fa comparire l’indirizzo sosia nella tua attività. Può essere un trasferimento di token di valore zero, una quantità minima di un token reale o il trasferimento di un token falso che copia il nome di una stablecoin reale.
4. 4Attesa. La volta successiva che invii fondi, apri la cronologia, vedi quello che sembra il tuo solito indirizzo, lo copi e invii. Il denaro finisce all’attaccante.

Poiché la voce falsa compare nella tua stessa cronologia, spesso proprio accanto ai tuoi trasferimenti autentici, sembra affidabile. Per approfondire, leggi Truffe pig butchering.

Perché il trucco funziona così bene

Diverse abitudini quotidiane rendono le persone vulnerabili:

• Indirizzi troncati. Wallet ed explorer mostrano spesso solo l’inizio e la fine di un indirizzo.
• Copiare dalla cronologia. È comodo copiare «l’indirizzo usato l’ultima volta» invece di recuperarlo dalla fonte originale.
• Token falsi con nomi reali. Un trasferimento che mostra un token chiamato «USDT» sembra normale, anche se il contratto è falso.
• Routine. Chi ripete lo stesso trasferimento ogni settimana tende a smettere di controllare con attenzione.

Troncati, i due sono identici. Solo il confronto completo rivela la differenza. Il nostro articolo Malware degli appunti approfondisce questo punto.

Come proteggerti

Queste abitudini neutralizzano quasi del tutto l’address poisoning:

1. 1Non copiare mai indirizzi dalla cronologia delle transazioni. Considera la cronologia un registro, non una rubrica.
2. 2Usa una rubrica salvata o una whitelist. Salva una sola volta gli indirizzi verificati, etichettali chiaramente e invia solo alle voci salvate. Molti exchange offrono anche la whitelist degli indirizzi di prelievo.
3. 3Prendi gli indirizzi dalla fonte. Per un deposito su un exchange, copia ogni volta l’indirizzo dalla pagina di deposito dell’exchange, verificando la rete.
4. 4Controlla l’indirizzo completo. Confronta più dei primi e ultimi caratteri, idealmente anche diversi segmenti centrali.
5. 5Invia una transazione di prova. Per qualsiasi trasferimento importante, invia prima un piccolo importo e verifica che arrivi, come spiegato nella nostra guida per inviare cripto senza perderle.
6. 6Nascondi i token spam. Usa la funzione spam o nascondi del tuo wallet per i token sconosciuti, così non ingombrano la visualizzazione.
7. 7Conferma sullo schermo del tuo hardware wallet. Se ne usi uno, leggi l’indirizzo di destinazione sul dispositivo prima di approvare.

Come riconoscere un tentativo di avvelenamento

Cerca questi segnali nella tua attività:

• Trasferimenti in entrata di valore zero o di importi minimi da indirizzi che non riconosci.
• Token con nomi familiari che non hai mai acquistato, soprattutto imitazioni di stablecoin.
• Un indirizzo nella cronologia che somiglia a uno dei tuoi contatti abituali ma compare poco dopo una transazione con quel contatto.

Su un block explorer, i token falsi rimandano spesso a contratti non ufficiali. Puoi verificare se un token è quello vero confrontando il suo contratto con l’indirizzo ufficiale, come spiegato nella nostra guida per verificare l’indirizzo del contratto di un token.

Cosa fare se hai inviato fondi a un indirizzo avvelenato

I trasferimenti su blockchain non si possono annullare, ma vale comunque la pena compiere alcuni passi:

• Annota l’hash della transazione, gli indirizzi e l’orario.
• Se i fondi sono passati da un exchange o da un emittente di stablecoin, contattali subito; alcuni emittenti possono congelare i token in determinati casi.
• Denuncia l’accaduto alla polizia e al servizio di segnalazione delle frodi del tuo Paese, e segnalaci l’indirizzo del truffatore così possiamo avvisare gli altri.
• Ignora chiunque ti contatti offrendo un recupero garantito a pagamento. Questi «servizi di recupero» sono spesso una seconda truffa.

Per approfondire, leggi Truffe di copy trading.

Ne parliamo più in dettaglio in Malware nei falsi test di programmazione per lavori nel settore cripto.

Letture correlate: Phishing con falsi WalletConnect e pop-up dei wallet.

In sintesi

L’address poisoning non viola la sicurezza del tuo wallet; usa contro di te un’abitudine comoda. Smetti di copiare indirizzi dalla cronologia, usa una rubrica etichettata o una whitelist, confronta l’indirizzo completo e invia una transazione di prova prima dei trasferimenti importanti. Quei pochi secondi di controllo fanno la differenza tra un pagamento di routine e una perdita irreversibile. Per altre difese, consulta le nostre guide sulla sicurezza.