Siti di bridge falsi: come usare un bridge senza farsi svuotare il wallet

Un sito di bridge falso è una copia somigliante di un vero bridge cross-chain che ti induce a firmare una transazione o un’approvazione di token che consegna i tuoi fondi a un aggressore. Per usare un bridge senza farti svuotare il wallet, accedi al bridge solo tramite un segnalibro verificato o la documentazione ufficiale, controlla il dominio e gli indirizzi dei contratti, leggi ogni richiesta del wallet prima di firmare e fai prima una prova con un importo piccolo.

I bridge spostano token da una blockchain all’altra, per esempio da Ethereum a una rete layer 2. Poiché gli utenti usano spesso i bridge di fretta, inseguendo una nuova rete, un airdrop o un’operazione di trading, le interfacce dei bridge sono un bersaglio prediletto del phishing. Questa guida spiega come funziona la truffa e la routine che la previene.

Come funziona un attacco con un bridge falso

La maggior parte delle truffe con bridge falsi segue gli stessi passaggi:

1. 1La copia. L’aggressore clona il front-end di un bridge popolare e lo ospita su un dominio che differisce per una lettera, un trattino o un’estensione diversa.
2. 2L’esca. Promuove il link tramite annunci a pagamento sui motori di ricerca, risposte sotto i post del progetto reale, falsi account di «supporto» o annunci secondo cui una nuova rete o un airdrop richiede di usare il bridge.
3. 3La connessione. Colleghi il tuo wallet. Il sito legge i tuoi saldi, quindi sa quali token vale la pena prendere di mira.
4. 4La richiesta. Clicchi su «bridge». Invece di chiamare il vero contratto del bridge, il sito ti chiede di approvare un token per il contratto di un aggressore, firmare un permit off-chain o inviare fondi direttamente a un indirizzo dell’aggressore.
5. 5Lo svuotamento. Una volta ottenuta l’approvazione, il contratto dell’aggressore preleva i tuoi token. Spesso il sito mostra un falso messaggio di «bridge in corso» per guadagnare tempo.

Poiché l’interfaccia sembra identica, il dominio e la richiesta del wallet sono i tuoi unici indizi affidabili. Le nostre guide sui wallet drainer e sul phishing con firme permit spiegano nel dettaglio i trucchi di firma.

Un esempio ipotetico

Quello che segue è un esempio illustrativo composito, non un caso reale. Immagina un utente che vuole spostare stablecoin da Ethereum a una nuova rete layer 2 per qualificarsi a un airdrop di cui si vocifera. Cerca il bridge della rete, clicca sul primo risultato, che è un annuncio a pagamento, e arriva su un sito identico al bridge ufficiale.

Collega il wallet e inserisce l’importo. Il wallet mostra una richiesta di approvazione per un accesso «illimitato» alle sue stablecoin da parte di un contratto mai visto prima. Pensa che sia normale per un bridge e approva. Entro un minuto, l’intero saldo di stablecoin viene trasferito altrove, mentre il sito continua a mostrare «in attesa di conferme». Quando si rende conto che il bridge non è mai avvenuto, i fondi sono già stati scambiati e spostati attraverso diversi indirizzi.

Le perdite sono derivate da tre scorciatoie: usare un annuncio sui motori di ricerca, saltare il controllo del dominio e approvare un contratto sconosciuto con un’autorizzazione illimitata.

Checklist dei segnali d’allarme

Come usare un bridge in sicurezza

Segui questa routine ogni volta:

1. 1Trova il bridge ufficiale dalla fonte. Vai alla documentazione ufficiale della rete di destinazione e segui il suo link al bridge. La nostra guida su come verificare che un sito sia quello ufficiale del progetto spiega come accertarti di essere sul dominio giusto.
2. 2Salvalo nei segnalibri. Da quel momento usa il segnalibro. Non cercare mai un bridge per poi cliccare su un annuncio.
3. 3Controlla il contratto. Quando il progetto pubblica gli indirizzi dei contratti del bridge, confrontali con quanto mostrato dal wallet prima di approvare.
4. 4Limita le approvazioni. Approva solo l’importo che stai trasferendo, non un importo illimitato, quando il wallet lo consente.
5. 5Invia una piccola prova. Trasferisci prima un piccolo importo e verifica che arrivi sulla rete di destinazione.
6. 6Usa un wallet separato per gli esperimenti. Un wallet usa e getta con fondi limitati pone un tetto alle perdite se qualcosa va storto.
7. 7Revoca quando hai finito. Rimuovi le approvazioni che non ti servono più, come descritto nella nostra guida su come revocare le autorizzazioni sui token.

Per i rischi più generali dei bridge stessi, compresi i bug degli smart contract, leggi come trasferire cripto tra blockchain in sicurezza.

Cosa fare se hai usato un bridge falso

Agisci in fretta:

1. 1Disconnetti il sito e chiudi la scheda.
2. 2Revoca le approvazioni per tutti i contratti che hai approvato, usando uno strumento affidabile di controllo delle approvazioni raggiunto tramite un segnalibro.
3. 3Sposta gli asset rimanenti in un wallet completamente nuovo con una nuova frase di recupero se hai firmato qualcosa di sospetto o inserito la tua frase di recupero.
4. 4Annota i dettagli: il dominio, gli hash delle transazioni e gli indirizzi dell’aggressore.
5. 5Segnalalo al vero progetto del bridge, all’exchange dove i fondi potrebbero arrivare e tramite il nostro modulo di segnalazione truffe, così da poter avvisare gli altri.

La nostra guida passo passo su cosa fare subito se il tuo wallet è compromesso copre l’intera procedura. Ignora chiunque ti contatti offrendosi di recuperare i fondi a pagamento: le truffe di recupero prendono di mira le vittime recenti. Per approfondire, consulta Truffe con carte di debito crypto e false offerte di carte.

In sintesi

I siti di bridge falsi funzionano perché sono identici a quelli veri e colgono le persone quando hanno fretta. Fidati del dominio e della richiesta del wallet, non del design della pagina. Accedi ai bridge solo tramite la documentazione ufficiale e i segnalibri, approva solo ciò che ti serve, fai prove con piccoli importi e revoca le approvazioni al termine.