Wallet drainer: come le approvazioni malevole rubano le tue criptovalute

Un wallet drainer è un sito o uno script malevolo che ti induce a firmare transazioni o messaggi che danno a un aggressore il permesso di spostare i tuoi token e NFT, e che poi usa quel permesso per svuotare il tuo wallet. L’aggressore non ha mai bisogno della tua frase di recupero: è la tua stessa firma a fare il lavoro.

I drainer sono dietro a molte delle perdite segnalate dopo falsi airdrop, falsi mint e account social di progetti hackerati. Sono stati venduti come kit pronti all’uso, a volte chiamati «drainer-as-a-service», il che significa che anche truffatori senza competenze possono usarli. Capire cosa stai firmando è la difesa migliore.

Come funzionano le approvazioni dei token (e perché i drainer le adorano)

Su Ethereum e sulle altre chain EVM, le app decentralizzate non possono spostare i tuoi token da sole. Prima concedi un’approvazione: il permesso per un determinato contratto di spendere un determinato token per tuo conto, fino a un importo stabilito. I DEX e i protocolli di lending ne hanno bisogno per funzionare.

Il problema è che molte app chiedono approvazioni illimitate per comodità, e le approvazioni restano attive finché non le revochi. Un drainer ti chiede semplicemente di approvare il suo contratto invece di uno legittimo. Una volta che hai firmato, l’aggressore può eseguire un trasferimento quando vuole.

Per gli NFT, l’equivalente è setApprovalForAll, che permette a un operatore di spostare tutti gli NFT che possiedi in una collezione. I marketplace lo usano in modo legittimo; i drainer lo usano per portarsi via intere collezioni in un colpo solo. Per approfondire, leggi Truffe crypto su Instagram e TikTok.

Le firme usate dai drainer

Le firme senza gas sono particolarmente ingannevoli. Poiché non costano commissioni, si pensa che siano «login» innocui. Alcune lo sono. Altre sono permit che autorizzano spese. Il nostro articolo su ice phishing e firme permit le spiega nel dettaglio.

Come si svolge di solito un attacco con drainer

1. 1L’esca. Un link arriva tramite un falso annuncio di airdrop, una risposta a un post ufficiale, un server Discord hackerato, un annuncio sponsorizzato nei motori di ricerca o un messaggio diretto che offre «assistenza».
2. 2Il sito convincente. La pagina copia il design di un progetto reale e ti chiede di collegare il wallet.
3. 3La scansione degli asset. Gli script del drainer controllano i tuoi saldi e chiedono prima le approvazioni per gli asset di maggior valore.
4. 4La firma. Le richieste vengono presentate come «claim», «verifica», «mint» o «sync», con urgenza creata ad esempio da conti alla rovescia.
5. 5Lo svuotamento. Gli asset vengono trasferiti, spesso in pochi secondi, e rapidamente scambiati o spostati tramite bridge per rendere più difficile il tracciamento.

Perché i drainer funzionano anche con gli utenti esperti

I drainer non si affidano a siti palesemente falsi. Molti attacchi partono dall’account compromesso di un progetto autentico, quindi l’annuncio sembra vero perché è pubblicato dall’account reale. Altri compaiono proprio quando un airdrop o un mint reale è di tendenza, quando le persone si aspettano di firmare transazioni e si affrettano per arrivare prima. Letture correlate: Attacchi SIM swap. Se vuoi approfondire, leggi Truffe con false migrazioni di token e swap.

Inoltre, le richieste del wallet si assomigliano sia che tu stia approvando un DEX affidabile sia un contratto drainer. La differenza è nei dettagli: l’indirizzo dello spender, il token e l’importo. Gli utenti esperti ci cascano quando l’abitudine prende il sopravvento e cliccano «conferma» come hanno fatto cento volte prima. Ne parliamo più nel dettaglio in Estensioni del browser malevole che rubano crypto. Letture correlate: Sicurezza dell’account email per chi usa crypto.

Segnali d’allarme prima di firmare

• Sei arrivato tramite un DM, una risposta, un annuncio o un link che non hai cercato da solo.
• Il sito chiede l’approvazione di un token che non avevi intenzione di scambiare.
• L’importo dell’approvazione è illimitato oppure l’indirizzo dello spender non ti è familiare.
• Ti viene chiesto di firmare un messaggio che non riesci a leggere, oppure il wallet ti avvisa di una firma alla cieca.
• C’è pressione: «il claim scade tra 10 minuti», «il tuo wallet verrà sospeso».
• Il dominio è leggermente diverso, registrato di recente o usa un’estensione insolita. Vedi siti di phishing crypto.

Come proteggerti

1. 1Usa un burner wallet per nuovi mint, airdrop e app sconosciute, tenendoci solo ciò che ti serve. Conserva le partecipazioni a lungo termine in un wallet separato che si collega raramente a qualcosa. La nostra guida ai burner wallet spiega come configurarlo.
2. 2Leggi ogni richiesta. Controlla azione, token, importo e spender prima di firmare. Se non la capisci, rifiutala.
3. 3Preferisci approvazioni limitate quando il wallet ti permette di impostare un importo personalizzato.
4. 4Attiva le anteprime delle transazioni o le funzioni di simulazione del wallet, se disponibili; mostrano cosa uscirà dal tuo wallet.
5. 5Revoca regolarmente. Controlla e rimuovi le vecchie approvazioni. La nostra guida passo passo su come revocare le approvazioni dei token ti mostra come fare.
6. 6Naviga direttamente. Digita gli URL che conosci o usa i segnalibri salvati invece di cliccare sui link.

Se pensi che il tuo wallet sia stato svuotato

Agisci in fretta, perché gli aggressori tornano spesso per gli asset rimasti:

• Revoca tutte le approvazioni che non riconosci.
• Sposta i fondi rimasti in un wallet completamente nuovo con una nuova frase di recupero, soprattutto se hai inserito la tua frase di recupero da qualche parte.
• Annota gli hash delle transazioni, gli indirizzi dell’aggressore e l’URL del sito.
• Segnala il sito e gli indirizzi, per esempio tramite il nostro modulo per segnalare le truffe, e alla piattaforma dove hai trovato il link.
• Ignora chiunque si offra di recuperare i tuoi fondi a pagamento; le truffe di recupero prendono di mira le vittime recenti.

Consulta anche la nostra checklist su cosa fare subito se il tuo wallet è compromesso.

In sintesi

I wallet drainer non violano la crittografia del tuo wallet: ti spingono ad autorizzare il furto. Tratta ogni firma come un possibile trasferimento di controllo, tieni gli asset di valore in un wallet che non tocca mai siti sconosciuti e fai pulizia delle approvazioni con regolarità. Rallentare per trenta secondi prima di firmare è lo strumento di sicurezza più efficace che hai.