Le 5 truffe più comuni sui portafogli auto-custoditi: appena le vedi, chiudi la pagina

Chi cade nelle truffe sui portafogli auto-custoditi, nove volte su dieci non è perché è stupido, ma perché in quel momento ha «fretta»: fretta di riscattare quell'airdrop che sembra in scadenza, fretta di risolvere quell'avviso che è saltato fuori, fretta di rispondere a quel messaggio di chi si spaccia per assistenza. La truffa è progettata apposta per costringerti a decidere in tre secondi, per non lasciarti il tempo di fermarti a pensare. Questo pezzo ti espone i cinque schemi più comuni, e il punto non è farti imparare a memoria le tecniche, ma allenarti un riflesso: appena la schermata ti dice «firma subito / riscatta subito / fornisci subito», chiudi e non toccare niente. Alla fine ti accorgerai che questi cinque si somigliano tutti molto, e se ne riconosci lo scheletro, anche le nuove varianti non ti fregano.

Prima ricorda una regola d'oro

Prima di entrare nei cinque schemi, imprimiti in testa una frase che blocca l'intera categoria con le perdite più gravi:

Non esiste alcun motivo legittimo per cui tu debba inserire la frase di recupero in un sito, mandarla a qualcuno, o riversarla a una qualsiasi «assistenza». Appena qualcuno ti chiede la frase di recupero, senza pensarci, è una truffa.

L'essenza del portafoglio auto-custodito è proprio «la chiave è solo nelle tue mani», cosa che spieghiamo in dettaglio in l'introduzione completa ai portafogli auto-custoditi. Proprio perché la chiave è solo nelle tue mani, né l'ufficiale, né l'assistenza, né la piattaforma sanno, o hanno bisogno di sapere, la tua frase di recupero. Qualsiasi scenario che ti chieda di consegnare la frase di recupero, per quanto somigli all'ufficiale, punta a quella tua chiave. Su questo l'ufficiale lo dice meglio di me: sia le note di sicurezza Web3 ufficiali di MetaMask sia la pagina sulla sicurezza di ethereum.org mettono «non rivelare la frase di recupero» come primo principio, da leggere a confronto.

1. Finta assistenza, finto sito ufficiale

Come funziona: sei bloccato con il portafoglio e cerchi aiuto online, o hai fatto una domanda sulla community, e poco dopo qualcuno ti scrive in privato, con avatar e nome che sembrano l'assistenza ufficiale, e premuroso ti chiede «mi passi la frase di recupero che do un'occhiata?». Un'altra variante è il finto sito ufficiale: ci entri da un risultato di ricerca, l'URL differisce dall'originale solo di una o due lettere, la pagina è quasi identica, e ti chiede di «verificare il portafoglio» inserendo la frase di recupero.

I segnali per cui chiudere subito: un'«assistenza» che ti scrive in privato per prima, che ti chiede la frase di recupero o la chiave privata, che ti porta a una pagina web dove inserire la frase di recupero. Il portafoglio auto-custodito non ha proprio un'assistenza che ti contatta per prima.

Come difenderti: il supporto ufficiale lo cerchi sempre da te, dal sito ufficiale o dalla sezione assistenza dentro l'app, senza farti portare in giro da nessuno. Guarda l'URL carattere per carattere, non fermarti al «somiglia»: i domini truffa usano spesso lettere simili, un trattino in più o un finale diverso per ingannare il tuo primo sguardo. Se ti serve consultare le funzioni ufficiali, riconosci una fonte ufficiale vera come la documentazione di supporto ufficiale di MetaMask, e non un link che ti ha incollato qualcuno in privato.

C'è anche un punto cieco mentale da segnalare: queste truffe spesso colpiscono proprio quando sei «bloccato e in cerca d'aiuto», perché in quell'istante sei più ansioso, vuoi che qualcuno ti risolva il problema in fretta, e hai la guardia più bassa. Quindi ricorda: più hai fretta di chiedere soccorso, più devi diffidare del «buon samaritano» che spunta da solo. L'ufficiale vero non ti scrive in privato qualche minuto dopo una tua domanda pubblica per chiederti la frase di recupero; lo fa solo chi tiene d'occhio il tuo portafoglio.

2. Finte autorizzazioni: la firma che non capisci

Come funziona: è oggi la più velenosa e quella in cui cadono più persone. Ti connetti a un sito di phishing — può essere una finta pagina evento, una finta pagina premio, una finta dApp — che apre una richiesta di firma, dicendoti «firma e basta per riscattare», «autorizza per usare la funzione». Non capisci il contenuto, pensi che firmare non faccia danni, firmi, ed equivale ad autorizzare la controparte a usare una certa moneta nel tuo portafoglio, e poi i soldi vengono spostati via in silenzio. Il punto chiave è: in tutto il processo «non hai trasferito», hai solo «firmato», e per questo in tanti abbassano la guardia.

I segnali per cui chiudere subito: una richiesta di firma o autorizzazione che non capisci, una pagina che ti incalza «firma adesso per riscattare», una fonte che è un sito di cui non sei sicuro. L'autorizzazione dà «la facoltà di toccare le tue attività», non è un check-in innocuo.

Come difenderti: le firme che non capisci non si firmano, questa regola non ha eccezioni. Prima di usare una dApp conferma che il sito sia davvero quello che vuoi, non entrare da link incollati da altri o da pubblicità nei risultati di ricerca. L'abitudine più sicura è: ogni volta che salta una richiesta di firma, guarda prima quale moneta ti chiede di autorizzare, chi è la controparte, quale importo; se il campo è una stringa che proprio non capisci e non mostra chiaramente la controparte, annulla direttamente. Il principio dell'autorizzazione e come controllare e revocare periodicamente le autorizzazioni già concesse li abbiamo scritti a parte: Da leggere prima di riscattare: come evitare firme malevole e truffe di autorizzazione, da leggere assolutamente prima di entrare nelle attività on-chain.

Un punto facile da trascurare: le autorizzazioni si «accumulano». Oggi firmi un'autorizzazione sul sito A, domani una sul sito B, e questi permessi non spariscono da soli, restano appesi al tuo portafoglio. Quindi, oltre a «non firmare a caso sul momento», prendi anche l'abitudine di tornare ogni tanto a controllare e revocare le autorizzazioni che non usi più, per ripulire le falle di esposizione a lungo termine. Per capire cosa sia davvero l'«autorizzazione token (token approval)» e perché possa essere abusata, vedi la spiegazione degli smart contract di Investopedia come base.

3. Il trojan che sostituisce l'indirizzo negli appunti

Come funziona: questa è piuttosto subdola. Il tuo dispositivo prende un programma malevolo che di solito sta nascosto e immobile, e tiene d'occhio i tuoi appunti. Quando copi un indirizzo del portafoglio per incollarlo nel campo di trasferimento, nell'istante in cui incolli sostituisce di nascosto l'indirizzo con quello del truffatore. Gli indirizzi del portafoglio sono lunghi e disordinati, nessuno li ricorda carattere per carattere, quindi dopo aver incollato di solito non ti accorgi che è cambiato, premi invia, e i soldi finiscono dritti nelle tasche della controparte.

I segnali per cui chiudere subito: questa non ha una finestra evidente da «vedere», sfrutta proprio la tua abitudine di non controllare. Quindi per difenderti servono azioni attive, non aspettare che si manifesti.

Come difenderti: prendi l'abitudine di «dopo aver incollato l'indirizzo, ricontrollare sempre qualche carattere all'inizio e qualcuno alla fine», meglio ancora confrontando per blocchi l'indirizzo che ti ha dato la controparte con quello che hai incollato. Guardare solo i primi due o tre caratteri non basta, perché alcuni trojan generano indirizzi con un inizio molto simile per ingannarti, quindi va confrontata anche la fine. Puoi anche incollare prima l'indirizzo nella verifica indirizzo per vedere se il formato è corretto e ricontrollare da te, rendendo il «confronto» un passo fisso e non saltabile del flusso di trasferimento. Come si legge un indirizzo e perché va confrontato carattere per carattere lo trovi in Cos'è un indirizzo del portafoglio? Le cose da controllare prima di incollarlo.

C'è poi una piccola abitudine più solida: se è un indirizzo verso cui trasferisci spesso (per esempio il tuo indirizzo di deposito sull'exchange), dopo averlo confermato la prima volta salvalo nella rubrica del portafoglio, e poi scegli direttamente dalla rubrica, così non devi ricopiare e incollare ogni volta e non dai al trojan degli appunti l'occasione di colpire. Prima di un trasferimento grande, conviene anche fare una prova con un piccolo importo, confermare che arrivi e che l'indirizzo non sia stato sostituito, e poi trasferire il resto. Per verificare se una transazione on-chain è davvero arrivata, puoi controllarla da te su un block explorer, per esempio Etherscan o BscScan, incollando l'indirizzo o il numero della transazione.

4. Phishing da finto airdrop

Come funziona: apri il portafoglio e trovi che dentro è comparso, chissà come, un token che non avevi mai visto, magari con scritto il nome di un certo sito. Curioso, vai a controllare, oppure il token stesso porta un messaggio che ti dice di andare su un sito a «riscattare», «convertire», «attivare». Una volta entrato, o ti chiede di inserire la frase di recupero, o ti chiede di firmare un'autorizzazione malevola — torniamo allo schema numero due. Quel token comparso dal nulla è proprio l'esca.

I segnali per cui chiudere subito: nel portafoglio spunta un token che non hai comprato né riscattato; un token sconosciuto porta con sé un'istruzione di «andare su un certo sito»; ti incalza a riscattare entro un tempo limite.

Come difenderti: visto un token sconosciuto, la cosa più sicura è non toccarlo, non cliccarlo, non interagirci, lascialo lì dov'è. Non cliccarlo, non provare a convertirlo in un'altra moneta, e ancor meno andare su un qualsiasi sito seguendo l'istruzione allegata. Un airdrop vero di solito lo ricevi perché «hai partecipato attivamente a un certo progetto, o soddisfi certe condizioni», non compare dal nulla da solo; un token apparso dal niente è per il 90% un'esca. Come distinguere dai segnali se un airdrop è vero o falso l'abbiamo raccolto in un pezzo: Come distinguere gli airdrop veri da quelli falsi? 5 segnali che è una truffa, da seguire se vuoi riscattare airdrop in sicurezza. Per fare tutto il giro del riscatto in modo completo e sicuro, vedi anche la guida completa agli airdrop di criptovalute.

5. App di portafoglio false

Come funziona: il truffatore fa un'app di portafoglio quasi identica all'originale, la mette su qualche canale di download non ufficiale, o ti adesca con pubblicità e link nei messaggi privati. La installi, segui il flusso per «creare un portafoglio» o «importare un portafoglio», e la frase di recupero che inserisci o generi viene, in quell'istante, sincronizzata alla controparte. Quando metti davvero le monete dentro, la controparte ti svuota di nuovo.

I segnali per cui chiudere subito: scaricare un portafoglio da pubblicità, messaggi privati, link di provenienza sconosciuta; l'URL della pagina di download non è il dominio ufficiale; la fonte dell'app ha recensioni strane o è appena pubblicata.

Come difenderti: scarica solo dal link originale del sito ufficiale o dello store ufficiale, e prima di scaricare riconferma il dominio, dando anche un'occhiata al nome dello sviluppatore, alla data di pubblicazione e se le recensioni sono ragionevoli. Appena pubblicata, con poche recensioni, o con un nome dello sviluppatore strano: meglio non installarla. Per chi inizia, se devi comunque usare un exchange, partire dal Wallet Web3 integrato e di fonte chiara dell'exchange riduce di molto le probabilità di inciampare in un'app falsa: il flusso di attivazione e backup di questo portafoglio integrato l'abbiamo scritto in la guida completa al Wallet Web3 di Binance.

C'è anche una variante a cui stare attenti: stai già usando un portafoglio originale, ma ricevi un messaggio o un popup «aggiorna l'app», con un link che però ti porta a una pagina di download non ufficiale. L'aggiornamento si fa sempre dallo store ufficiale, non cliccare il link nel messaggio per aggiornare: questo singolo accorgimento blocca gran parte delle trappole da finto aggiornamento.

Le tre linee di difesa universali

Finiti i cinque schemi, ti accorgi che le loro falle si sovrappongono. Imposta bene queste tre linee di difesa e la stragrande maggioranza delle varianti non entra:

1. La frase di recupero la trascrivi solo a penna, la conservi solo offline, e non la inserisci mai in alcun sito né la mandi a nessuno. Questa blocca finta assistenza, finto sito e finte app, tre schemi. Come trascriverla e dove, vedi Cos'è una frase di recupero? Come trascriverla, dove tenerla e perché non fotografarla mai.
2. Le firme che non capisci non le firmi, e prima di entrare in qualsiasi dApp verifica l'URL. Questa blocca finte autorizzazioni e finti airdrop.
3. Prima di trasferire confronta sempre l'indirizzo carattere per carattere, prendendo l'abitudine di ricontrollare dopo aver incollato. Questa blocca il trojan degli appunti e l'incollare per sbaglio.

In fin dei conti, il portafoglio auto-custodito ti dà la libertà, e ti dà anche la responsabilità. Il truffatore scommette che tu, «per comodità, salti quei tre secondi di controllo». Basta che tu trasformi queste tre cose in memoria muscolare e che quando ti incalzano rallenti in automatico, e le sue mosse più usate contro di te non funzionano più. Per una verifica in più prima di trasferire, usa al volo la verifica indirizzo; per completare tutto il concetto di sicurezza dell'auto-custodia, torna a l'introduzione completa ai portafogli auto-custoditi e leggila da capo: collegherà ogni punto di questo pezzo.