Facile
Hack di criptovalute: come proteggere un portafoglio Web3
La maggior parte degli attacchi ha successo perché un investitore firma un contratto che non comprende, lascia i propri fondi in un hot wallet connesso a Internet o si connette tramite una rete Wi-Fi pubblica non protetta. Ecco alcuni metodi concreti per ridurre il rischio di hackeraggio.
Sommario
Capire cosa vogliono veramente gli hacker
Un hacker non attacca la blockchain in sé. Prende di mira l'utente. Il punto debole non è Ethereum , Bitcoin, Solana o Polygon , ma la connessione tra l'utente e il suo portafoglio. La maggior parte dei furti deriva dal furto di chiavi private, da false dApp , da estensioni dannose o dal phishing.
Preferisci un cold wallet per conservare i tuoi fondi
Un cold wallet è una chiave fisica offline. Non trasmette mai la chiave privata al computer o al browser. Quando l'utente firma una transazione, la firma viene creata nella chiave e quindi trasmessa alla blockchain.
Per cold wallet , esistono due principali riferimenti: Ledger e Trezor .
Ledger (Nano S Plus, Nano X, Stax) si distingue per il chip Secure Element , certificato per la massima sicurezza , e per il supporto a oltre 15.000 criptovalute app Ledger Live . La scelta del modello dipende dal numero di asset da gestire e dalle funzionalità desiderate (Bluetooth, durata della batteria, dimensioni dello schermo, ecc.).
Trezor ( Trezor One, Trezor Model T, Safe 3/5) si sta concentrando sulla trasparenza con un codice open source auditabile . Modelli recenti incorporano anche un chip elementi sicuro . Trezor offre un'interfaccia più semplice e una filosofia open source , ideale per coloro che preferiscono chiarezza e fiducia nel codice.
Il hot wallet, tuttavia, rimane costantemente connesso a Internet. Questo apre la porta a diversi possibili attacchi.
Perché un cold wallet è più protettivo
Un hot wallet (Metamask, Exodus, Trust Wallet , ecc.) memorizza la chiave privata su un dispositivo connesso. Una vulnerabilità nel browser o un'estensione dannosa potrebbero consentire a un hacker di intercettare la chiave o avviare una transazione fraudolenta. Un cold wallet non consente mai alla chiave di lasciare il dispositivo, anche se il computer è compromesso.
Rischi comuni per un hot wallet
- Iniezione di codice nel browser tramite un'estensione fraudolenta
- Furto di sessione o recupero di seed
- Clonazione di una dApp che spinge l'utente ad approvare permessi illimitati
Con un cold wallet , un attacco non può prosciugare i fondi nemmeno da remoto. L'hacker deve possedere fisicamente la chiave e convalidare la firma su di essa, rendendo l'operazione impraticabile.
Utilizzare una VPN sulle connessioni pubbliche
Gli attacchi ai wallet spesso hanno successo quando la vittima si connette senza protezione a una rete pubblica. Un hotspot di un hotel, un bar o un aeroporto consentono a un aggressore di posizionarsi tra l'utente e il sito web che sta visitando. Quando una richiesta viene trasmessa in chiaro, l'aggressore può recuperare informazioni, reindirizzare la connessione a un sito web falso o rubare una sessione.
Una VPN (NordVPN, VeePN , ProtonVPN o altre) crittografa il tuo traffico. Anche se qualcuno intercetta i dati, non può leggerli. Alcuni DeFi le utilizzano, soprattutto quando hanno bisogno di connettersi a un portafoglio mentre sono in movimento.
Esempi concreti di attacchi a una rete pubblica
- Reindirizzamento a un sito di scambio falso con un URL quasi identico
- Recupero di un cookie di sessione per aprire un account senza password
- Tracciamento dell'indirizzo IP seguito dal targeting con un attacco di phishing personalizzato
Una VPN non impedisce un investimento , ma impedisce a un hacker di monitorare o dirottare la connessione. Quando l'accesso al wallet avviene tramite un browser connesso a una rete Wi-Fi aperta, il livello di crittografia limita la superficie di attacco.
Verificare tutte le transazioni prima di firmare
La maggior parte degli attacchi informatici crypto non prevede il furto della chiave privata. La trappola sta nell'ingannare la vittima inducendola a firmare un contratto che non comprende. Quando un wallet si connette a una dApp , la dApp può richiedere l'accesso ai token del wallet. Un contratto potrebbe quindi contenere una funzione che consente il trasferimento di fondi a un indirizzo controllato dall'aggressore.
Come una dApp falsa svuota un portafoglio
- L'utente clicca su un link ricevuto tramite messaggio o su un gruppo
- La pagina sembra una piattaforma ben nota: airdrop , DeFi, staking
- Il portafoglio visualizza una richiesta di approvazione.
- La transazione consente a un contratto di spendere tutti i token indefinitamente.
- La vittima pensa di reclamare una ricompensa, ma in realtà sta trasferendo l'accesso
Le interfacce false sono comuni. Spesso vengono copiate da protocolli riconosciuti, con un nome simile. Per evitare di firmare un contratto dannoso, è necessario esaminare l'indirizzo del sito web, verificare che la piattaforma sia legittima e leggere cosa mostra il wallet. Su Metamask, le autorizzazioni sono visibili nella finestra di firma. Se la transazione autorizza un contratto a spendere un intero token senza che sia stato fatto clic su alcun elemento che suggerisca una transazione, questo rappresenta un rischio significativo.
Cosa controllare prima di convalidare un contratto
- Indirizzo completo del sito web, non solo il logo
- Nome del contratto per il quale si richiede l'autorizzazione
- Importo che il contratto intende gestire: limitato o illimitato
- Presenza del protocollo in un database pubblico o su un aggregatore
Conserva la frase di recupero offline
La seed phrase è la vera proprietà del portafoglio. Chiunque la possieda può ripristinarlo su qualsiasi dispositivo, senza lasciare traccia. Una copia digitale di questa seed phrase trasforma un hack in un furto istantaneo. Un file su un computer, una nota nel cloud, uno screenshot o un'e-mail sono tutti bersagli facili.
Metodi di furto di semi
- Malware che esegue la scansione del computer alla ricerca di termini come "seed", "mnemonico" e "chiave privata"
- Phishing tramite falsi moduli di recupero
- Estensioni del browser modificate
Mantenere la frase offline previene il furto a distanza. Alcuni usano la carta, altri una piastra metallica ignifuga. L'importante è impedire che una copia venga recuperata da un software o da un aggressore.
Revoca le autorizzazioni concesse ai contratti
Ogni contratto firmato rimane attivo fino alla revoca. Un contratto autorizzato nel 2023 potrebbe essere sfruttato nel 2025 se il suo sviluppatore scompare o il suo indirizzo viene compromesso. Alcuni strumenti consentono di visualizzare e rimuovere queste autorizzazioni. Questa verifica periodica impedisce che un contratto vecchio o abbandonato venga utilizzato come punto di ingresso.
Riconoscere i segnali di una truffa
Gli hack crypto sfruttano la psicologia. Le truffe più redditizie promettono airdrop, cloud mining, rendimenti inversi o ricompense istantanee. Un primo trasferimento ne sblocca un secondo, poi un terzo. A ogni fase, il protocollo richiede autorizzazioni aggiuntive fino allo svuotamento del portafoglio.
Segnali di avvertimento comuni
- Promozione aggressiva in un gruppo Telegram o Discord
- URL modificati con una lettera mancante o un sottodominio strano
- Richiesta di seed o chiave privata
- Ricompense troppo rapide o troppo elevate
Un protocollo legittimo non richiede mai la seed phrase. L'unica procedura legittima è firmare dal proprio portafoglio, senza rivelare l'accesso.
Confronta le dAppprima dell'uso
Una dApp nota lascia tracce verificabili: indirizzi ufficiali, documentazione pubblica, audit, community, integrazioni. Un progetto anonimo, creato due settimane fa, senza audit o annunci trasparenti, presenta un rischio sproporzionato. La prudenza impone di controllare il contratto in un browser web e confrontarlo con l'indirizzo ufficiale pubblicato dal progetto.
Conclusione
La sicurezza del Web3 si basa su semplici riflessi: firmare solo ciò che si capisce, tenere separati i portafogli, tenere offline il capitale iniziale, utilizzare una VPN quando si viaggia e preferire un cold wallet per grandi quantità. Gli hacker che hackerano criptovalute prendono di mira gli utenti distratti, non la blockchain. Più transazioni sono verificate, meno un hacker può manipolare un contratto o dirottare una connessione. La migliore protezione rimane padroneggiare le azioni e comprendere cosa accade durante una firma.
Gli investimenti in criptovalute sono rischiosi. Crypternon non poteva essere ritenuto responsabile, direttamente o indirettamente, per eventuali danni o perdite causati a seguito dell'uso di una proprietà o di un servizio presentato in questo articolo. I lettori devono fare le proprie ricerche prima di intraprendere qualsiasi azione e investire solo entro i limiti delle loro capacità finanziarie. Le prestazioni passate non garantiscono risultati futuri. Questo articolo non costituisce una consulenza di investimento.
Alcuni collegamenti di questo articolo sono collegamenti di sponsorizzazione, il che significa che se si acquista un prodotto o ti registri tramite questi collegamenti, raccoglieremo una commissione da parte della società sponsorizzata. Queste commissioni non allenano alcun costo aggiuntivo per te come utente e determinate sponsorizzazioni ti consentono di accedere alle promozioni.
Raccomandazioni AMF. Non esiste un elevato rendimento garantito, un prodotto con un potenziale ad alta prestazione implica un rischio elevato. Questo rischio deve essere in linea con il tuo progetto, il tuo orizzonte di investimento e la tua capacità di perdere parte di questi risparmi. Non investire se non sei pronto a perdere tutto o parte del tuo capitale.
Tutti i nostri articoli sono soggetti a una rigorosa verifica dei fatti. Ogni informazione chiave viene verificata manualmente da fonti affidabili e riconosciute. Quando cita una fonte, il collegamento viene sistematicamente integrato nel testo ed evidenziato da un colore diverso, al fine di garantire la trasparenza e consentire al lettore di consultare direttamente i documenti originali.
Per andare oltre, leggi le nostre pagine avvisi legali , la politica sulla privacy e le condizioni generali d'uso .
Yoann
Ingegnere di addestramento, mi sono rapidamente interessato al campo finanziario. Convinto che la finanza decentralizzata abbia un futuro luminoso davanti a essa, partecipa alla sua democratizzazione sviluppando Crypternon.
