In parole semplici — Un wallet drainer è un flusso malevolo che induce l'utente a firmare o approvare ciò che consente all'attaccante di trasferire alcuni asset. Il meccanismo abusa di un'autorizzazione concessa e non richiede necessariamente la compromissione delle chiavi.
L'esca può essere un airdrop, una collezione NFT, un supporto tecnico o una
dApp clonata. Collegare il wallet, da solo, normalmente mostra l'indirizzo e
permette al sito di proporre richieste; non equivale ancora ad autorizzare una
spesa. Il rischio cambia quando si confermano transazioni, firme o permessi di
spesa (permit o allowance) senza comprenderne destinatario e portata.
Dalla firma al trasferimento
Le approvazioni di token sono necessarie anche nelle dApp legittime: consentono a uno smart contract di usare una quantità di token o uno specifico insieme di asset. Queste autorizzazioni diventano pericolose quando lo spender è malevolo, l'importo è eccessivo o la richiesta nasconde il suo vero effetto. Una firma off-chain può inoltre essere conservata e utilizzata in seguito, quindi l'assenza di un trasferimento immediato non prova che l'interazione fosse innocua.
Un drainer non richiede necessariamente la seed phrase e non può sempre muovere ogni asset: dipende dalla rete, dal messaggio firmato e dai permessi concessi. Al contrario, il furto della seed compromette le chiavi derivate e richiede una risposta diversa. Anche disconnettere una dApp dal wallet non revoca le allowance già registrate sulla blockchain.
Controlli, revoca e messa in sicurezza
Disconnettere il wallet o la dApp non revoca un permesso malevolo: la revoca è un'operazione separata. Prima di confermare, verifica dominio, rete, contratto, spender, asset, quantità e durata dell'autorizzazione. Un permesso illimitato non è automaticamente una frode, ma amplia il danno possibile e va concesso soltanto quando serve a un'applicazione verificata. Usa gli strumenti indicati dal wallet o dall'esploratore ufficiale: anche un sito di revoca trovato in un annuncio può essere un'altra esca.
Se sospetti un'approvazione malevola, interrompi l'interazione, revoca i permessi interessati e valuta di spostare gli asset rimasti verso un wallet sicuro. Conserva dominio, indirizzi e hash delle transazioni. Se la seed phrase è stata esposta, la sola revoca non basta: occorre un nuovo wallet con una nuova frase. Le transazioni già confermate non vengono annullate dalla revoca, perciò agire rapidamente può limitare il seguito ma non recupera automaticamente quanto trasferito.
Fonti
- Ethereum.org — How to revoke token access — Distingue la disconnessione di una dApp dalla revoca delle approvazioni persistenti.
- MetaMask — Signature phishing — Spiega come firme apparentemente innocue possano autorizzare operazioni usate in seguito.
- FBI IC3 — NFT developer impersonation — Descrive siti contraffatti che collegano il wallet a smart contract drainer.
Collegamenti
Anti-scam · Red flags · Phishing · Furto della seed phrase · Sito clone