Rischi degli indirizzi vanity e degli indirizzi sosia
I rischi degli indirizzi vanity spiegati: come nascono gli indirizzi crypto personalizzati e sosia, come li sfruttano i truffatori, le falle dei generatori deboli e come proteggersi.
Gli indirizzi vanity, cioè indirizzi di wallet con uno schema scelto come un nome o caratteri ripetuti, comportano due rischi principali: se la chiave privata è stata generata da uno strumento debole o non affidabile, qualcun altro potrebbe ricrearla e rubare i fondi, e i truffatori usano le stesse tecniche per creare indirizzi sosia che ti inducono a inviare loro crypto. Entrambi i rischi dipendono da come vengono generati gli indirizzi e da come li controlli.
La maggior parte delle persone dà solo un’occhiata ai primi e agli ultimi caratteri di un indirizzo. Gli attaccanti lo sanno e costruiscono le loro truffe su questa abitudine. Capire il meccanismo ti aiuta a evitare entrambi i tipi di perdita.
Come nascono gli indirizzi vanity
Un indirizzo crypto deriva da una chiave pubblica, che a sua volta proviene da una chiave privata. Non puoi scegliere direttamente un indirizzo; puoi solo generare chiavi a caso e verificare se l’indirizzo risultante corrisponde al tuo schema.
- 1Generare una chiave privata casuale.
- 2Ricavare la chiave pubblica e l’indirizzo.
- 3Verificare se l’indirizzo inizia o finisce con i caratteri scelti.
- 4In caso contrario, ripetere, spesso miliardi di volte.
Ogni carattere in più da far coincidere moltiplica il lavoro: per questo gli schemi brevi si trovano in fretta, mentre quelli lunghi richiedono un’enorme potenza di calcolo. La sicurezza dell’indirizzo finale dipende interamente dal passaggio 1: la chiave privata deve provenire da una casualità robusta. Ne parliamo più in dettaglio in Come riconoscere un’app crypto falsa nell’App Store.
Rischio 1: generatori vanity deboli
Se un generatore prende scorciatoie con la casualità per andare più veloce, le chiavi «casuali» possono provenire da un insieme di possibilità molto più piccolo. Un attaccante che comprende la scorciatoia può esplorare quell’insieme ridotto e recuperare le chiavi private.
Non è teoria. Nel 2022 è stata resa pubblica una vulnerabilità in Profanity, un noto strumento per indirizzi vanity su Ethereum, che dimostrava come le sue chiavi potessero essere ricavate con la forza bruta. In seguito sono stati svuotati fondi da indirizzi creati con esso, tra cui un furto molto discusso ai danni della società di trading Wintermute, collegato a un indirizzo vanity. La lezione: un indirizzo vanity è sicuro solo quanto il codice che lo ha generato.
Altri rischi legati ai generatori:
- Generatori online che creano la chiave su un server, dove il gestore potrebbe conservarne una copia.
- Servizi a «chiave divisa» implementati male, in cui il fornitore può ricostruire la tua chiave.
- Strumenti non più mantenuti con bug noti che nessuno ha corretto.
Rischio 2: indirizzi sosia e address poisoning
I truffatori usano la generazione in stile vanity per uno scopo diverso: copiare le parti visibili dei tuoi indirizzi.
Ecco come funziona un attacco di address poisoning:
- 1L’attaccante monitora la blockchain alla ricerca di wallet attivi e degli indirizzi a cui inviano spesso fondi.
- 2Genera un indirizzo sosia che coincide con i primi e gli ultimi caratteri di uno di quegli indirizzi.
- 3Ti invia dall’indirizzo sosia una transazione di valore zero, una transazione minuscola o un falso trasferimento di token, così che compaia nella tua cronologia delle transazioni.
- 4Più tardi copi un indirizzo dalla cronologia per effettuare un pagamento e scegli per errore quello sosia.
- 5I tuoi fondi finiscono all’attaccante, e i trasferimenti su blockchain non si possono annullare.
La nostra guida dettagliata sugli attacchi di address poisoning illustra le varianti di questa truffa.
Un esempio composito (ipotetico)
Questo è un esempio inventato. Immagina che «Leo» invii regolarmente stablecoin al suo indirizzo di deposito su un exchange, che inizia con «0x7a3f» e finisce con «c91e». Un giorno nella cronologia del suo wallet compare un trasferimento di zero token da un indirizzo che inizia anch’esso con «0x7a3f» e finisce con «c91e», ma ha caratteri diversi nel mezzo. Una settimana dopo Leo apre la cronologia, copia l’indirizzo più recente che sembra corrispondere, controlla i primi e gli ultimi quattro caratteri e invia una somma consistente. Finisce al truffatore.
Checklist dei segnali d’allarme
- Trasferimenti di valore zero o di dust da indirizzi sconosciuti nella tua cronologia.
- Token sconosciuti «inviati» da un indirizzo che somiglia a uno che usi.
- Un indirizzo che coincide alle estremità ma è diverso nel mezzo.
- Un sito web o una persona che si offre di generare un indirizzo personalizzato «per te».
- Uno strumento vanity closed source, non mantenuto o pubblicizzato in modo aggressivo.
- Pressioni per inviare in fretta, senza tempo per una transazione di prova.
Come proteggersi
| Situazione | Pratica sicura |
|---|---|
| Invio a un destinatario abituale | Salva l’indirizzo una volta nella rubrica del wallet dopo averlo verificato; invia da lì |
| Copiare un indirizzo | Copialo dalla richiesta verificata del destinatario o dalla tua rubrica, mai dalla cronologia delle transazioni |
| Controllare un indirizzo | Confronta l’indirizzo completo, o almeno molti caratteri all’inizio, al centro e alla fine |
| Trasferimenti consistenti | Invia prima un piccolo importo di prova e fatti confermare la ricezione |
| Uso di un hardware wallet | Verifica l’indirizzo completo sullo schermo del dispositivo prima di approvare |
| Desiderio di un indirizzo vanity | Usa software open source ben verificato sul tuo dispositivo offline, oppure rinuncia |
La nostra guida su come verificare un indirizzo di wallet prima di inviare offre una procedura passo dopo passo. Alcuni wallet nascondono o segnalano anche i trasferimenti di valore zero; attiva questi filtri se disponibili.
Cosa fare se è già successo
- Se hai inviato fondi a un indirizzo sosia: in genere non puoi annullare l’operazione. Annota l’hash della transazione, segnala l’indirizzo al fornitore del wallet e all’exchange coinvolto e segnalalo tramite la nostra pagina per segnalare truffe. Se i fondi arrivano su un exchange, questo potrebbe intervenire.
- Se il tuo indirizzo vanity è stato creato con uno strumento debole: sposta subito i fondi in un nuovo wallet creato con software standard e ben verificato, poi revoca le approvazioni dei token dal vecchio indirizzo.
- Se sospetti che le tue chiavi siano state esposte: segui cosa fare subito se il tuo wallet è compromesso.
Diffida di chiunque ti contatti promettendo di recuperare i fondi in cambio di una commissione: è una truffa di follow-up molto comune.
In sintesi
Un indirizzo vanity è solo estetico, ma i rischi che nasconde sono reali: i generatori deboli possono esporre la tua chiave privata e gli stessi trucchi di corrispondenza degli schemi permettono ai truffatori di creare indirizzi simili ai tuoi. Genera le chiavi solo con software affidabile, copia gli indirizzi da fonti verificate, controlla l’intera stringa e usa transazioni di prova per gli importi consistenti.
Domande frequenti
Che cos’è un indirizzo vanity nel mondo crypto?
Un indirizzo vanity è un indirizzo di wallet che contiene uno schema scelto, come una parola o una serie di caratteri ripetuti, di solito all’inizio o alla fine. Si crea generando enormi quantità di coppie di chiavi finché una produce un indirizzo che corrisponde allo schema. Funziona come qualsiasi altro indirizzo, ma il modo in cui è stato generato conta molto per la sicurezza.
Gli indirizzi vanity sono sicuri?
Possono esserlo, se la chiave privata è stata generata con una casualità robusta sul tuo dispositivo usando un software ben verificato. Diventano pericolosi se usi un generatore online, una terza parte che potrebbe conservare una copia della chiave o uno strumento con un generatore di numeri casuali debole. I fondi su questi indirizzi possono essere rubati in qualsiasi momento.
Come funzionano le truffe con indirizzi sosia?
I truffatori generano indirizzi che hanno i primi e gli ultimi caratteri uguali a un indirizzo che usi, poi ti inviano una transazione minuscola o di valore zero, così che il loro indirizzo sosia compaia nella tua cronologia. Se in seguito copi un indirizzo dalla cronologia invece che da una fonte affidabile, potresti inviare i fondi al truffatore.
Come evito di inviare crypto a un indirizzo sosia?
Copia gli indirizzi da una fonte affidabile, come la rubrica salvata o la richiesta verificata del destinatario, non dalla cronologia delle transazioni. Confronta l’indirizzo completo, non solo l’inizio e la fine, e invia un piccolo importo di prova per i trasferimenti consistenti. Gli hardware wallet ti permettono di confermare l’indirizzo completo su uno schermo separato.