Guida · Rischi degli indirizzi · · di Stefan Tsezarov
L’indirizzo che sembra il tuo
Comincia come il tuo. Finisce come il tuo. Non è il tuo.
È l’avvelenamento degli indirizzi.
Qualcuno fa entrare un indirizzo sosia nella tua cronologia delle transazioni e aspetta. Più tardi apri la cronologia, vedi una riga che sembra familiare, la copi e invii fondi nel posto sbagliato.
Nessun wallet violato. Nessuna password rubata. Nessuna blockchain rotta.
Solo un copia-incolla sbagliato.
Non copiare mai un indirizzo dalla tua cronologia delle transazioni.
Questa guida mostra come funziona il trucco, perché controllare solo l’inizio e la fine di un indirizzo è esattamente ciò che vuole il truffatore, e come batterlo.
01La trappola è nella tua cronologia
La maggior parte delle persone invia denaro sempre agli stessi pochi posti.
Un exchange. Un amico. Il proprio secondo wallet. Un’azienda che usa regolarmente.
Gli indirizzi blockchain sono pubblici, quindi gli attaccanti possono osservare queste abitudini.
Poi creano un nuovo indirizzo progettato per sembrare uno che usi già.
L’inizio coincide.
La fine coincide.
La parte centrale è diversa.
Ora l’attaccante deve mettere quell’indirizzo in un posto dove lo vedrai più tardi.
La tua cronologia delle transazioni è perfetta.
Può inviare un pagamento minuscolo, creare un trasferimento di token di valore zero o inviare un token senza valore con un nome familiare come «USDT».
Non hai chiesto niente di tutto questo.
È proprio questo il punto.
L’attaccante non cerca di derubarti adesso.
Sta piantando un indirizzo falso per dopo.
02Perché controllare le estremità non funziona
Wallet e block explorer accorciano gli indirizzi lunghi, perché nessuno vuole fissare una stringa di 42 caratteri su un telefono.
Quindi potresti vedere 0x7a3F…9E2c invece dell’indirizzo completo.
E naturalmente controlli ciò che vedi.
«Sì. Comincia con 7a3F.»
«Sì. Finisce con 9E2c.»
«Dev’essere lo stesso indirizzo.»
È esattamente la trappola.
All’attaccante basta far coincidere la parte visibile.
Generare indirizzi costa poco ed è automatico. Un software può creare un numero enorme di candidati finché ne trova uno con l’inizio e la fine voluti.
La vera differenza sta nella parte centrale.
E la parte centrale è quella che nessuno controlla.
03Tre modi in cui può comparire il falso
Il trucco non ha bisogno della tua approvazione né della tua firma.
Un pagamento minuscolo
L’attaccante ti invia una cifra minima.
Compare nella tua attività recente, proprio dove più tardi potresti cercare un indirizzo familiare.
Un trasferimento di valore zero
Alcuni contratti di token permettono di registrare sulla chain trasferimenti di zero token.
Così la tua cronologia può sembrare contenere un trasferimento con l’indirizzo sosia dell’attaccante, anche se non l’hai mai avviato tu.
Un token falso
L’attaccante invia un token senza valore con un nome o un simbolo familiare.
Il tuo wallet può mostrare qualcosa che sembra un asset normale.
È un’esca.
Queste transazioni non danno magicamente all’attaccante il controllo del tuo wallet.
Servono a far sembrare familiare l’indirizzo sbagliato.
04Un errore da 68 milioni di dollari
Non è solo un trucco teorico.
Il 3 maggio 2024 qualcuno ha inviato 1.155 wrapped bitcoin, del valore di circa 68 milioni di dollari all’epoca, a un indirizzo sosia.
L’indirizzo era stato creato per somigliare a quello previsto ed era stato piantato nella cronologia delle transazioni della vittima.
Circa una settimana dopo, quando la vittima ha offerto pubblicamente all’attaccante il 10% per restituire i fondi, l’attaccante ha rimandato il valore in ETH.
Un recupero notevole.
Ma non costruire la tua strategia di sicurezza sulla fortuna.
Chainalysis ha poi ricostruito la campagna più ampia e trovato più di 80.000 indirizzi sosia seminati nelle cronologie delle transazioni.
Solo una minima parte ha mai intercettato un pagamento reale.
Ed è questo che fa funzionare la truffa.
L’attaccante può piazzare migliaia di trappole a costo bassissimo.
Gli basta che una sola persona copi una volta l’indirizzo sbagliato.
05Cinque abitudini che lo battono
1. Copia dalla fonte originale.
Usa la pagina di deposito dell’exchange, la fattura, il destinatario o un’altra fonte affidabile. Non la cronologia delle transazioni.
2. Salva gli indirizzi frequenti.
La rubrica del tuo wallet è più sicura che cercare tra vecchie transazioni.
3. Confronta l’intero indirizzo.
Non solo i primi quattro caratteri. Non solo gli ultimi quattro. Confronta tutto.
4. Per i grandi trasferimenti, fai prima una prova.
Invia una piccola somma e fatti confermare dal destinatario la ricezione tramite un canale separato. Una prova aiuta solo se qualcuno la conferma davvero.
5. Considera rumore i trasferimenti inattesi.
Pagamenti minuscoli, trasferimenti di valore zero e token strani possono essere esche. Non interagire con loro solo perché sono comparsi nel tuo wallet.
06Provalo tu stesso
Ecco due indirizzi inventati.
Esempio inventato · l’indirizzo che intendevi
Esempio inventato · il sosia
Ora accorciali entrambi come fa di solito un wallet: 0x7a3F…9E2c
Sembrano identici.
Non lo sono.
Apri Confronta due indirizzi nello scanner e incolla un indirizzo in ogni riquadro.
Vedrai che sono diversi, anche se l’inizio e la fine coincidono.
È l’avvelenamento degli indirizzi in una sola schermata.
E ogni carattere diverso viene messo in evidenza.
07Cosa può e non può dirti lo strumento di confronto
Lo strumento di confronto risponde a una sola domanda:
Questi due indirizzi sono davvero uguali?
Tutto qui.
Non può dirti quale indirizzo sia quello giusto.
È importante.
Se due indirizzi vengono dalla tua cronologia delle transazioni, potrebbero essere sbagliati entrambi.
È la fonte originale affidabile a dirti quale indirizzo usare.
Lo strumento non ti dice nemmeno chi possiede un indirizzo o se è stato segnalato come rischioso. È un controllo diverso.
Un dettaglio tecnico: negli indirizzi di tipo Ethereum le maiuscole fanno parte del checksum, quindi lo strumento di confronto ignora la differenza tra maiuscole e minuscole. Sulle chain in cui le maiuscole contano, confronta i caratteri esattamente.
Il confronto avviene nel tuo browser.
Niente di ciò che vi incolli viene inviato da nessuna parte.
La regola
Copia dalla fonte, non dalla cronologia. Confronta l’intero indirizzo, non le estremità.
Tutto qui.
Un indirizzo dall’aria familiare può comunque essere completamente diverso.
Prima di inviare, assicurati che l’indirizzo che hai copiato sia quello che intendevi davvero usare.
Entrambi gli indirizzi di esempio di questa guida sono inventati. Non inviare fondi a nessuno dei due. Questa guida è un’informazione generale, non una consulenza finanziaria.